CVE-2024-21413 | PoC de Vulnerabilidade de Execução Remota de Código no Microsoft Outlook

📜 Descrição

Este script apresenta uma prova de conceito (PoC) para a CVE-2024-21413, uma vulnerabilidade de segurança significativa descoberta no Microsoft Outlook com CVSS 9.8. Chamada de bug #MonikerLink, esta vulnerabilidade tem implicações de grande alcance, incluindo o potencial vazamento de informações NTLM locais e a possibilidade de execução remota de código. Além disso, destaca um vetor de ataque que poderia contornar o Modo de Exibição Protegido do Office, estendendo assim sua ameaça a outros aplicativos do Office.

🚀 Uso

Use esta ferramenta com responsabilidade e certifique-se de ter autorização do proprietário do sistema de destino. Este script requer autenticação SMTP para enviar um e-mail, contornando as verificações de SPF, DKIM e DMARC, o que ajuda a simular um cenário de ataque do mundo real de forma mais eficaz.

python CVE-2024-21413.py --server "<SMTP server>" --port <SMTP port> --username "<SMTP username>" --password "<SMTP password>" --sender "<sender email>" --recipient "<recipient email>" --url "<link URL>" --subject "<email subject>"

Parâmetros:

• --server: Nome do host ou IP do servidor SMTP.
• --port: Porta do servidor SMTP.
• --username: Nome de usuário do servidor SMTP para autenticação.
• --password: Senha do servidor SMTP para autenticação.
• --sender: Endereço de e-mail do remetente.
• --recipient: Endereço de e-mail do destinatário.
• --url: Caminho malicioso a ser incluído no e-mail.
• --subject: Assunto do e-mail.

Envio Inicial

Exibição no Outlook (sem avisos, sem Modo de Exibição Protegido)

Captura do Wireshark incluindo credenciais NTLM (você também pode executar o impacket, alternativamente)

🧐 Por que Autenticação SMTP?

A autenticação SMTP é crucial para esta demonstração para garantir que o e-mail enviado contorne verificações comuns de validação de e-mail, como SPF (Sender Policy Framework), DKIM (DomainKeys Identified Mail) e DMARC (Domain-based Message Authentication, Reporting, and Conformance). Essas medidas de segurança são projetadas para detectar e prevenir a falsificação de e-mail (spoofing), onde atacantes enviam e-mails a partir de um endereço forjado. Ao usar SMTP autenticado, a demonstração imita de perto como um atacante sofisticado poderia contornar essas proteções, tornando o ambiente de teste mais realista e destacando a importância de práticas abrangentes de segurança de e-mail.

Demonstrações

Vazamento NTLM 0-click

Execução Remota de Código (RCE) 1-click

📆 Histórico de Alterações

[19 de fevereiro de 2024] - Adicionado vazamento NTLM 0-click

• Confirmado e gerenciado o vazamento NTLM 0-click (graças a JT!)
• Ainda não publicado

[18 de fevereiro de 2024] - Adicionado RCE 1-click

• Gerenciada e confirmada a Execução Remota de Código (RCE) no Microsoft Outlook
• Ainda não publicado

[16 de fevereiro de 2024] - Lançamento Inicial

• Lançamento inicial apresentando o exploit para CVE-2024-21413.

Créditos

• A Checkpoint fez toda a pesquisa incrível.
• Aviso de Segurança da Microsoft

📌 Autor

Alexander Hagenah

• Site
• Twitter
• LinkedIn

⚠️ Aviso Legal

Esta ferramenta destina-se apenas a fins educacionais e de testes éticos. Escaneamento, testes ou exploração não autorizados de sistemas são ilegais e antiéticos. Certifique-se de ter permissão explícita e autorizada para realizar qualquer atividade de teste ou exploração contra sistemas de destino.