CVE-2017-8570

出典：https://www.exploit-db.com/exploits/44263/

使用方法：python packager_composite_moniker.py -s calc.sct -o example.rtf

What?

このリポジトリには、CVE-2017-8570（別名 "Composite Moniker" 脆弱性）の Proof of Concept エクスプロイトが含まれています。これは、Packager.dll のトリックを使用して sct ファイルを %TEMP% ディレクトリにドロップし、その後、この脆弱性が提供するプリミティブを使用して実行することを示しています。

Why?

なぜ？

いくつかの理由があります。

1. この脆弱性を悪用するために Packager.dll のファイルドロップのトリック が使えるかどうか確認したかったからです。
2. 私の知る限り、CVE-2017-8570 の他の公開エクスプロイトはすべて、実際には CVE-2017-0199 の "Script Moniker" 亜種を利用しており、実際の composite moniker エクスプロイトではありません。
3. 実環境で使われている悪用手法への認識を高め、防御側が悪用の試みを検出するのに役立てること。

How to run

実行方法

スクリプトを実行するだけです。実行する Sct ファイルと、RTF ファイルの出力名を指定します:

python packager_composite_moniker.py -s calc.sct -o example.rtf
[+] RTF file written to: example.rtf

Detection

検出

この脆弱性を RTF 経由で悪用しようとする試みを検出するための Yara ルールを含めています。

References

参考文献

• https://justhaifei1.blogspot.co.uk/2017/07/bypassing-microsofts-cve-2017-0199-patch.html
• https://securingtomorrow.mcafee.com/mcafee-labs/dropping-files-temp-folder-raises-security-concerns/
• https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-8570