CVE-2017-8570

これは何？

このリポジトリには、CVE-2017-8570、別名「Composite Moniker」脆弱性のProof of Conceptエクスプロイトが含まれています。これは、Packager.dllのトリックを使用してsctファイルを%TEMP%ディレクトリにドロップし、その脆弱性が提供するプリミティブを使用して実行することを示しています。

なぜ？

いくつかの理由があります。

1. この脆弱性を悪用するためにPackager.dllファイルドロップのトリックを使えるかどうかを確認してみたかったからです。
2. 私の知る限り、CVE-2017-8570の他の公開エクスプロイトはすべて、実際にはCVE-2017-0199の「Script Moniker」バリアントを悪用しており、実際のcomposite monikerエクスプロイトではありません。
3. 実際に使用されている悪用技術への認識を高め、防御側が悪用の試みを検出できるようにすることです。

実行方法

実行するSctファイルと出力するRTFファイル名を指定してスクリプトを実行するだけです：

python packager_composite_moniker.py -s calc.sct -o example.rtf
[+] RTF file written to: example.rtf

検出

この脆弱性をRTF経由で悪用しようとする試みを検出するためのYaraルールを含めています。

参照

• https://justhaifei1.blogspot.co.uk/2017/07/bypassing-microsofts-cve-2017-0199-patch.html
• https://securingtomorrow.mcafee.com/mcafee-labs/dropping-files-temp-folder-raises-security-concerns/
• https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-8570