CVE-2024-21413 | Microsoft Outlook 원격 코드 실행 취약점 PoC

📜 설명

이 스크립트는 CVSS 9.8의 심각도를 가진 Microsoft Outlook에서 발견된 중요한 보안 취약점인 CVE-2024-21413에 대한 개념 증명(PoC)을 제공합니다. #MonikerLink 버그로 명명된 이 취약점은 로컬 NTLM 정보 유출 가능성과 원격 코드 실행 가능성을 포함하여 광범위한 영향을 미칩니다. 또한 Office 보호된 보기(Protected View)를 우회할 수 있는 공격 벡터를 제시하여 다른 Office 애플리케이션으로 위협 범위를 확장합니다.

🚀 사용 방법

이 도구는 책임감 있게 사용하고 대상 시스템 소유자의 승인을 반드시 받으십시오. 이 스크립트는 SMTP 인증을 사용해 이메일을 전송하며 SPF, DKIM, DMARC 검사를 우회하므로 실제 공격 시나리오를 더 효과적으로 시뮬레이션할 수 있습니다.

python CVE-2024-21413.py --server "<SMTP server>" --port <SMTP port> --username "<SMTP username>" --password "<SMTP password>" --sender "<sender email>" --recipient "<recipient email>" --url "<link URL>" --subject "<email subject>"

매개변수:

• --server: SMTP 서버 호스트명 또는 IP.
• --port: SMTP 서버 포트.
• --username: 인증에 사용할 SMTP 서버 사용자 이름.
• --password: 인증에 사용할 SMTP 서버 비밀번호.
• --sender: 발신자 이메일 주소.
• --recipient: 수신자 이메일 주소.
• --url: 이메일에 포함할 악성 경로.
• --subject: 이메일 제목.

초기 발송

Outlook에서의 표시 (경고 없음, 보호된 보기 없음)

NTLM 자격 증명을 포함한 Wireshark 캡처 (대안으로 impacket을 실행할 수도 있습니다)

🧐 왜 SMTP 인증이 필요한가?

SMTP 인증은 이 데모에서 전송되는 이메일이 SPF(Sender Policy Framework), DKIM(DomainKeys Identified Mail), DMARC(Domain-based Message Authentication, Reporting, and Conformance)와 같은 일반적인 이메일 검증 검사를 우회하도록 보장하는 데 중요합니다. 이러한 보안 조치는 공격자가 위조된 주소에서 이메일을 보내는 이메일 스푸핑을 탐지하고 방지하기 위해 설계되었습니다. 인증된 SMTP를 사용함으로써 데모는 정교한 공격자가 이러한 보호 조치를 어떻게 우회할 수 있는지 밀접하게 모방하여 테스트 환경을 보다 현실적으로 만들고 포괄적인 이메일 보안 관행의 중요성을 강조합니다.

데모

0-클릭 NTLM 유출

1-클릭 원격 코드 실행 (RCE)

📆 변경 로그

[2024년 2월 19일] - 0-클릭 NTLM 유출 추가

• 0-클릭 NTLM 유출 확인 및 처리 (JT님 감사합니다!)
• 아직 공개되지 않음

[2024년 2월 18일] - 1-클릭 RCE 추가

• Microsoft Outlook 원격 코드 실행(RCE) 처리 및 확인
• 아직 공개되지 않음

[2024년 2월 16일] - 최초 릴리스

• CVE-2024-21413에 대한 익스플로잇을 보여주는 최초 릴리스.

크레딧

• Checkpoint가 모든 놀라운 연구를 수행했습니다.
• Microsoft 보안 권고

📌 작성자

Alexander Hagenah

• 웹사이트
• 트위터
• 링크드인

⚠️ 면책 조항

이 도구는 교육 및 윤리적 테스트 목적으로만 사용됩니다. 승인되지 않은 시스템 스캔, 테스트 또는 악용은 불법이며 비윤리적입니다. 대상 시스템에 대해 테스트나 악용 활동을 수행하기 전에 명시적이고 승인된 권한이 있는지 확인하십시오.