CVE-2017-8570

Что?

Этот репозиторий содержит эксплойт Proof of Concept для CVE-2017-8570, также известной как уязвимость "Composite Moniker". Он демонстрирует использование трюка с Packager.dll для сброса sct-файла в каталог %TEMP% и последующего его выполнения с помощью примитива, предоставляемого уязвимостью.

Зачем?

Несколько причин.

1. Я хотел проверить, можно ли использовать трюк с сбросом файлов через Packager.dll для эксплуатации этой уязвимости.
2. Насколько мне известно, все остальные публичные эксплойты для CVE-2017-8570 на самом деле эксплуатируют вариант "Script Moniker" из CVE-2017-0199 и не являются эксплойтами composite moniker.
3. Повысить осведомленность о методах эксплуатации, используемых в реальных атаках, и помочь защитникам обнаруживать попытки эксплуатации.

Как запустить

Просто запустите скрипт, указав Sct-файл для выполнения и имя выходного RTF-файла:

python packager_composite_moniker.py -s calc.sct -o example.rtf
[+] RTF file written to: example.rtf

Обнаружение

Я включил Yara-правило для обнаружения попыток эксплуатации этой уязвимости через RTF.

Ссылки