CVE-2018-0802

• CVE-2018-08022: https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2018-0802

• MITRE CVE-2018-0802: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-0802

• 0patch 익스플로잇 및 패치 영상: https://www.youtube.com/watch?v=XU-U4K270Z4

• Qihoo 360 블로그 포스트 http://www.freebuf.com/vuls/159789.html

• Checkpoint 블로그 (무차별 대입 ASLR 우회) https://research.checkpoint.com/another-office-equation-rce-vulnerability

packager_exec CVE-2018-0802

이 저장소는 CVE-2018-0802에 대한 개념 증명 익스플로잇을 포함합니다. 허용된 명령어 길이 제한을 우회하기 위해, 익스플로잇은 Packager OLE 개체를 사용하여 포함된 페이로드를 %TMP% 디렉토리에 드롭하고, WinExec 호출을 통해 짧은 명령어로 파일을 실행합니다. 예: cmd.exe /c%TMP%\file.exe.

사용법

packager_exec_CVE-2018-0802.py -e executable_path -o output_file_name

-d 옵션을 추가하면 동일한 문서에서 CVE-2017-11882와 CVE-2018-0802를 모두 익스플로잇합니다.

탐지

이 특정 변종의 익스플로잇(itw에서 사용된)을 탐지하기 위해 Yara 규칙을 추가했습니다. 이 규칙은 쉽게 우회될 수 있으며 조정이 필요할 수 있습니다. 더 나은 규칙에 대한 PR을 환영합니다 ;)

감사 인사

이 익스플로잇은 Embedi가 CVE-2017-11882에 대해 이미 수행한 선행 작업에 크게 기반하고 있습니다. 여기에 언급된 분들이 이미 이루어낸 훌륭한 작업에 대해 저는 어떠한 공로도 주장하지 않습니다.

또한 다음 발견자분들에게 감사드립니다:

• Qihoo 360 Vulcan Team의 bee13oy
• Qihoo 360 Vulcan Team의 zhouat
• Tencent PC Manager의 Liang Yin
• 0patch Team - ACROS Security의 Luka Treiber
• Check Point Software Technologies의 Netanel Ben Simon and Omer Gull
• Qihoo 360 Core Security (@360CoreSec)의 Yang Kang, Ding Maoyin and Song Shenlei
• Qihoo 360 Vulcan Team의 Yuki Chen
• Zhiyuan Zheng

CVE-2018-0802 샘플 익스플로잇 (calc.exe를 페이로드로 시작)

example 폴더에는 CVE-2018-0802 취약점을 익스플로잇하고 시스템에서 계산기를 실행하는 .rtf 파일이 들어 있습니다.