CVE-2018-0802

• CVE-2018-08022: https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2018-0802

• MITRE CVE-2018-0802: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-0802

• 0patch 익스플로잇 및 패치 비디오: https://www.youtube.com/watch?v=XU-U4K270Z4

• Qihoo 360 블로그 게시물 http://www.freebuf.com/vuls/159789.html

• Checkpoint 블로그(무차별 대입 ASLR 우회) https://research.checkpoint.com/another-office-equation-rce-vulnerability

packager_exec CVE-2018-0802

이 저장소에는 CVE-2018-0802에 대한 PoC(Proof of Concept) 익스플로잇이 포함되어 있습니다. 허용되는 제한된 명령 길이를 우회하기 위해, 이 익스플로잇은 Packager OLE 개체를 사용하여 포함된 페이로드를 %TMP% 디렉터리에 드롭한 다음 WinExec 호출을 통해 다음과 같은 짧은 명령을 사용하여 파일을 실행합니다: cmd.exe /c%TMP%\file.exe.

사용법

packager_exec_CVE-2018-0802.py -e executable_path -o output_file_name

-d 옵션을 추가하면 동일한 문서에서 CVE-2017-11882와 CVE-2018-0802를 모두 악용할 수 있습니다.

탐지

실제(itw)에서 사용된 이 특정 변종의 익스플로잇을 탐지하는 Yara 규칙을 추가했습니다. 이 규칙은 쉽게 우회될 수 있고 조정이 필요할 수 있습니다. 더 나은 규칙에 대한 PR은 언제든 환영합니다 ;)

감사 인사

이 익스플로잇은 Embedi가 CVE-2017-11882에 대해 기존에 수행한 작업에 크게 기반하고 있습니다. 여기에 언급된 분들이 이미 이룬 훌륭한 성과에 대해 저는 공로를 주장하지 않습니다.

또한 많은 발견자들에게 찬사를 보냅니다:

• Qihoo 360 Vulcan Team의 bee13oy
• Qihoo 360 Vulcan Team의 zhouat
• Tencent PC Manager의 Liang Yin
• 0patch Team - ACROS Security의 Luka Treiber
• Check Point Software Technologies의 Netanel Ben Simon 및 Omer Gull
• Qihoo 360 Core Security의 Yang Kang, Ding Maoyin 및 Song Shenlei (@360CoreSec)
• Qihoo 360 Vulcan Team의 Yuki Chen
• Zhiyuan Zheng

CVE-2018-0802 샘플 익스플로잇 (calc.exe를 페이로드로 실행)

example 폴더에는 CVE-2018-0802 취약점을 악용하고 시스템에서 계산기를 실행하는 .rtf 파일이 들어 있습니다.