Existem alguns requisitos ignorados para que este exploit funcione, que fizeram com que até bons PoCs, como este de lockedbyte, falhassem em funcionar corretamente.

Talvez ninguém tenha "lançado" explicitamente para evitar que a vulnerabilidade fosse mais explorada. Mas agora está corrigida, então não deve causar muitos problemas divulgar os detalhes.

Arquivo HTML

Conforme este tweet de Will Dormann, o HTML deve ter pelo menos 4096 bytes de tamanho para acionar a "Pré-visualização" dentro do MS Word.

Arquivo CAB

O arquivo CAB precisa ser corrigido em nível de byte para evitar erros de extração e conseguir o ZipSlip:

• filename.inf deve se tornar ../filename.inf
• filename.inf deve ter exatamente <12 caracteres>.inf Não é bem verdade, o importante é modificar coffCabStart
• CFFOLDER.typeCompress deve ser 0 (não comprimido)
• CFFOLDER.coffCabStart deve ser aumentado em 3 (devido ao '../' adicionado)
• CFFOLDER.cCfData deve ser 2
• CFFILE.cbFile deve ser maior que todo o CFHEADER.cbCabinet
• CFDATA.csum deve ser recalculado (ou zerado) [OPCIONAL]

As razões para essas restrições são muitas, e não gastei tempo suficiente para entender profundamente todas, mas vamos ver as mais importantes:

• TypeCompress: Se o CAB estiver comprimido, o truque de abri-lo dentro de um arquivo objeto para acionar a escrita do INF falhará Falso, consegui obter o mesmo resultado com uma amostra comprimida em MSZIP
• CoffCabStart: CoffCabStart fornece a posição absoluta da primeira estrutura CFDATA, como adicionamos um '../', precisaríamos aumentar isso em 3 para apontar para o arquivo (isso é mais um palpite)
• cCfData: Como há apenas 1 arquivo, deveríamos ter apenas 1 CFDATA, não tenho certeza por que isso precisa ser definido como 2 De fato, podemos deixar como 1
• cbFile: Curiosamente, se a extração do CAB terminar sem nenhum erro, o arquivo INF será marcado para exclusão pelo WORD, arruinando o exploit. A única maneira de evitar isso é fazer o WORD acreditar que a extração falhou. Se o valor de cbFile for definido como maior que o próprio arquivo cabinet, o extrator atingirá um EOF antes de ler todos os bytes definidos em cbFile, gerando um erro de extração.
• [OPCIONAL] Este valor parece não ser verificado pelo MS Word. De qualquer forma, para ter um CAB correto, o valor csum deve ser recalculado. Felizmente, conforme observado por j00sean e de acordo com a documentação da MS, este valor pode ser 0

NOTA1: O Defender agora detecta se o arquivo CAB contém um PE usando o valor _IMAGE_DOS_HEADER.e_magic como uma assinatura, potencialmente impedindo que arquivos PE sejam incorporados no CAB. Essa assinatura pode ser contornada? Não tenho certeza, mas como observado anteriormente, esta é uma vulnerabilidade corrigida, então não pretendo investir muito mais tempo nisso. Fica a cargo do leitor curioso desenvolver isso mais a fundo.

NOTA2: O Patch da Microsoft bloqueia esquemas de URI arbitrários, aparentemente usando uma abordagem de lista negra (isso é apenas uma suposição)

Ataque de DLL

A principal cadeia de ataque associada ao CVE-2021-40444 é o ataque de DLL carregado via esquema de URI .cpl. Para explorar isso, um atacante precisa gerar uma DLL especialmente criada. Se quiser testar, experimente meu script evildll-gen.

JScript, VBScript, Javaw, MSIexec, ...

Conforme observado por Max Maluin, é possível interagir com vários tipos de arquivo abusando do IE e da extensão de arquivo associada baseada em URI. Embora isso possa ser uma boa maneira de explorar o IE, tem limitações.

De fato, deve-se notar que o método usado no exploit para baixar arquivos é baseado em atualizações de controle ActiveX, e não pode ser usado para baixar arquivos arbitrários. De acordo com a documentação da Microsoft, a tag codebase pode apontar apenas para alguns tipos de arquivo: OCX, INF e CAB.

Mesmo que possamos baixar diretamente um arquivo OCX ou INF, ainda não podemos ter certeza de baixar o arquivo no local certo dentro do sistema. Com o exploit do cab, é possível mover o arquivo .inf para um caminho conhecido usando o path traversal, mas em qualquer outro caso o arquivo será armazenado em um diretório aleatório, tornando virtualmente impossível referenciá-lo.

Até hoje, não encontrei uma maneira de encadear download e execução SEM um arquivo CAB.

Nota: Falando apenas do IE, o contrabando de HTML poderia ser um cenário possível para explorar a vulnerabilidade.

Ataque de arquivo sem CAB usando arquivo RAR híbrido

Esta técnica foi divulgada primeiramente por Eduardo Braun no Twitter e explicada em este artigo.

Observe que usando esta técnica, a cadeia de ataque é um pouco diferente. Este ataque requer que o usuário baixe um arquivo RAR especialmente criado, obtido pela combinação de um script WSF válido e um arquivo RAR válido. Uma vez aberto, o RAR conterá um DOCX com uma referência a um HTML, que por sua vez tentará carregar o arquivo RAR como um script WSF.

Para resumir:

1. Arquivo RAR especialmente criado é baixado (provavelmente na pasta Downloads)
2. DOCX extraído e aberto
3. Relação armazenada em document.xml.rels aponta para HTML malicioso
4. Pré-visualização do IE é iniciada para abrir o link HTML
5. O JScript dentro do HTML contém um script/iframe apontando para o arquivo RAR, prefixado com o esquema de URI ".wsf:"
6. Como o RAR foi projetado para ser simultaneamente um RAR válido e um script WSF válido, o script é executado

Quais são os exploits PoC implementados pela ferramenta

O utilitário gerador pode atualmente reproduzir os seguintes ataques:

¹O CAB não é baixado corretamente em alguns ambientes

²O usuário precisa clicar em "Salvar" para baixar o arquivo no IE

Analisador de arquivo CAB

O utilitário cab_parser.py pode ser usado para ver os cabeçalhos do arquivo de exploit, mas não o considere um analisador completo. É um visualizador de cabeçalho CAB muito rápido e sujo que desenvolvi para entender o que estava acontecendo.

Instalação

O gerador foi projetado para funcionar no Windows, pois utiliza o utilitário makecab. Antes de usar, certifique-se de instalar as dependências necessárias:

• Com Virtualenv

• Sem Virtualenv

Uso

O gerador é trivial de usar, e embora tenha sido testado com vários payloads e versões do Windows, não é à prova de falhas. Estou encontrando comportamentos diferentes em diferentes compilações do Windows. Assim que tiver mais detalhes para compartilhar, os postarei aqui.

Exemplo

• Gerar o exploit original e testá-lo localmente

Nota: a porta é selecionada pela URL, e o exploit é gerado com base na extensão do arquivo payload

• Gerar o exploit sem CAB com RAR e testá-lo localmente via IE

• Gerar o exploit sem CAB (apenas IE) com contrabando de HTML e testá-lo localmente via IE

Créditos

• RET2_pwn pelo incrível blog
• j00sean pelas boas dicas
• lockedbyte pelo primeiro PoC decente
• Max_Mal pela dica sobre os esquemas de URI alternativos
• wdormann pela dica sobre as restrições de tamanho do arquivo HTML
• Edu_Braun_0day pela versão legal sem CAB do exploit