CVE-2017-8570

Что это?

В этом репозитории содержится Proof of Concept эксплойт для CVE-2017-8570, также известной как уязвимость «Composite Moniker». Здесь демонстрируется использование трюка с Packager.dll для сброса sct-файла в каталог %TEMP% с последующим его выполнением через примитив, предоставляемый данной уязвимостью.

Зачем?

По нескольким причинам.

1. Мне хотелось проверить, можно ли использовать трюк со сбросом файлов через Packager.dll для эксплуатации этой уязвимости.
2. Насколько мне известно, все остальные публичные эксплойты для CVE-2017-8570 на самом деле эксплуатируют вариант «Script Moniker» из CVE-2017-0199 и не являются настоящими эксплойтами composite moniker.
3. Привлечение внимания к техникам эксплуатации, используемым в реальных атаках, и помощь защитникам в обнаружении попыток эксплуатации.

Как запустить

Просто запустите скрипт, указав Sct-файл для выполнения и имя выходного RTF-файла:

python packager_composite_moniker.py -s calc.sct -o example.rtf
[+] RTF file written to: example.rtf

Обнаружение

Я включил Yara-правило для обнаружения попыток эксплуатации этой уязвимости через RTF.

Ссылки

• https://justhaifei1.blogspot.co.uk/2017/07/bypassing-microsofts-cve-2017-0199-patch.html
• https://securingtomorrow.mcafee.com/mcafee-labs/dropping-files-temp-folder-raises-security-concerns/
• https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-8570