sentinelblue/cve-2022-30190Microsoft Sentinel の ASIM における MSDT および CVE-2022-30190 のアクティビティに関する分析ルールとハンティングクエリ
2022年5月30日月曜日、MicrosoftはWindowsのMicrosoftサポート診断ツール（MSDT）の脆弱性に関するCVE-2022-30190を発行しました。
MSDTがWordなどの呼び出し元アプリケーションからURLプロトコルを使用して呼び出されると、リモートコード実行の脆弱性が存在します。この脆弱性の悪用に成功した攻撃者は、呼び出し元アプリケーションの権限で任意のコードを実行する可能性があります。その後、攻撃者はプログラムのインストール、データの表示、変更、削除、またはユーザーの権限で許可されたコンテキストでの新しいアカウントの作成を行う可能性があります。
https://nvd.nist.gov/vuln/detail/CVE-2022-30190
Microsoft Sentinelを使用したハンティングとアラートに関する詳細については、sentinelディレクトリを参照してください。
以下は2つのPOCリポジトリです。John HammondによるPOCが動作することを確認できます。これは、Word文書を介して「メモ帳」ウィンドウを開くことでアラートを検証するために使用したものです。
https://github.com/JohnHammond/msdt-follina
https://github.com/onecloudemoji/CVE-2022-30190
https://www.sentinelone.com/blog/staying-ahead-of-cve-2022-30190-follina/
