CVE-2024-21413 | Microsoft Outlook リモートコード実行の脆弱性 PoC

📜 説明

このスクリプトは、CVE-2024-21413（CVSS 9.8の深刻なセキュリティ脆弱性がMicrosoft Outlookで発見されたもの）の概念実証（PoC）を提供します。#MonikerLinkバグと呼ばれるこの脆弱性は、ローカルNTLM情報の漏洩やリモートコード実行の可能性など、広範囲に影響を及ぼします。さらに、Office Protected Viewをバイパスする攻撃ベクトルを強調しており、他のOfficeアプリケーションにも脅威が拡大することを示しています。

🚀 使用方法

このツールは責任を持って使用し、ターゲットシステムの所有者からの許可を必ず得てください。このスクリプトは、メール送信にSMTP認証を必要とし、SPF、DKIM、DMARCチェックをバイパスすることで、実際の攻撃シナリオをより効果的にシミュレートします。

python CVE-2024-21413.py --server "<SMTP server>" --port <SMTP port> --username "<SMTP username>" --password "<SMTP password>" --sender "<sender email>" --recipient "<recipient email>" --url "<link URL>" --subject "<email subject>"

パラメータ:

• --server: SMTPサーバーのホスト名またはIP。
• --port: SMTPサーバーのポート。
• --username: SMTPサーバーの認証用ユーザー名。
• --password: SMTPサーバーの認証用パスワード。
• --sender: 送信者メールアドレス。
• --recipient: 受信者メールアドレス。
• --url: メールに含める悪意のあるパス。
• --subject: メールの件名。

初期送信

Outlookでの表示（警告なし、Protected Viewなし）

NTLM資格情報を含むWiresharkキャプチャ（代わりにimpacketを実行することも可能）

🧐 SMTP認証の理由

SMTP認証は、このデモンストレーションにおいて、送信メールがSPF（Sender Policy Framework）、DKIM（DomainKeys Identified Mail）、DMARC（Domain-based Message Authentication, Reporting, and Conformance）などの一般的なメール検証チェックをバイパスするために重要です。これらのセキュリティ対策は、攻撃者が偽造アドレスからメールを送信するメールスプーフィングを検出・防止するために設計されています。認証済みSMTPを使用することで、このデモは洗練された攻撃者がこれらの保護を回避する方法を忠実に模倣し、テスト環境をより現実的にし、包括的なメールセキュリティ慣行の重要性を強調します。

デモ

0-click NTLM漏洩

1-click リモートコード実行（RCE）

📆 変更履歴

[2024年2月19日] - 0-Click NTLM漏洩を追加

• 0-click NTLM漏洩を確認・管理（JTに感謝！）
• 未公開

[2024年2月18日] - 1-click RCEを追加

• Microsoft Outlookリモートコード実行（RCE）を管理・確認
• 未公開

[2024年2月16日] - 初期リリース

• CVE-2024-21413のエクスプロイトを示す初期リリース。

クレジット

• Checkpoint が素晴らしい研究をすべて行いました。
• Microsoft Security Advisory

📌 作者

Alexander Hagenah

• Website
• Twitter
• LinkedIn

⚠️ 免責事項

このツールは教育および倫理的なテスト目的のみを意図しています。許可されていないシステムのスキャン、テスト、または悪用は違法かつ非倫理的です。ターゲットシステムに対するテストや悪用活動を行う前に、明示的かつ許可された権限を持っていることを確認してください。