POC CVE-2022-30190 : CVE 0-day MS Office RCE、別名 msdt follina

情報 : Microsoft Officeのゼロデイ脆弱性、PowerShellを実行する攻撃に使用される

概要

2022年5月29日、独立したサイバーセキュリティ研究チームであるNao_Secチームは、Virustotalで共有されていた悪意のあるOffice文書を発見しました。この文書は、被害者に感染させるために、異常ではあるが既知のスキームを使用しています。このスキームは、Microsoft Defender for Endpointなどの一部のEDRでは悪意のあるものとして検出されませんでした。この脆弱性は、マクロを必要としないため、ユーザーの操作なしにコード実行を引き起こす可能性があります。ただし、Protected Viewモードが有効な場合を除きます。まだCVE番号は割り当てられていません。

技術的詳細

この脆弱性は、MSProtocol URIスキームを使用してコードを読み込むことによって悪用されます。攻撃者は、Microsoft Office文書、テンプレート、または電子メール内に、ms-msdt: で始まる悪意のあるリンクを埋め込む可能性があります。これらのリンクは、後でユーザーの操作なしに読み込まれて実行されます。ただし、Protected Viewモードが有効な場合を除きます。それでも、文書をRTF形式に変換すると、Protected View機能をバイパスすることもできます。

概念実証

MS Officeのdocxファイルには、外部OLEオブジェクト参照がHTMLファイルとして含まれる場合があります。HTMLスキーム "ms-msdt:" があり、これはmsdt診断ツールを呼び出し、任意のコード（パラメータで指定）を実行できます。

その結果、悪意のあるdocxファイルを開くだけで（マクロを使わずに）RCEを得られるという恐ろしい攻撃ベクトルが生まれます。

概念実証のdocxを構築する手順は次のとおりです：

1. Word（最新の2019 Pro、16.0.10386.20017を使用）を開き、ダミー文書を作成して、(OLE)オブジェクト（Bitmap Imageとして）を挿入し、docxとして保存します。

2. docx構造（プレーンなzip）内の word/_rels/document.xml.rels を編集します。属性を持つXMLタグ <Relationship> を変更します。