CVE-2022-30190

В понедельник, 30 мая 2022 года, Microsoft опубликовала информацию об уязвимости CVE-2022-30190, связанной со Средством диагностики поддержки Microsoft (MSDT) в Windows.

Уязвимость удалённого выполнения кода возникает, когда MSDT вызывается через URL-протокол из вызывающего приложения, такого как Word. Злоумышленник, успешно использующий эту уязвимость, может запускать произвольный код с правами вызывающего приложения. Затем он может устанавливать программы, просматривать, изменять или удалять данные, а также создавать новые учётные записи в контексте, разрешённом правами пользователя.

https://nvd.nist.gov/vuln/detail/CVE-2022-30190

Посетите каталог sentinel для получения дополнительной информации об охоте на угрозы и оповещениях с помощью Microsoft Sentinel.

Доказательство концепции

Ниже представлены два репозитория с PoC. Мы можем подтвердить, что PoC от John Hammond работает. Именно его мы использовали для проверки оповещений, открыв окно «Блокнот» с помощью документа Word.

https://github.com/JohnHammond/msdt-follina

https://github.com/onecloudemoji/CVE-2022-30190

Рекомендации по смягчению последствий

https://www.sentinelone.com/blog/staying-ahead-of-cve-2022-30190-follina/

https://msrc-blog.microsoft.com/2022/05/30/guidance-for-cve-2022-30190-microsoft-support-diagnostic-tool-vulnerability/

Ссылки

https://nvd.nist.gov/vuln/detail/CVE-2022-30190

https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2022-30190

https://www.tenable.com/blog/cve-2022-30190-zero-click-zero-day-in-msdt-exploited-in-the-wild#:~:text=CVE-2022-30190%20is%20a%20remote%20code%20execution%20vulnerability%20in,called%20using%20the%20URL%20protocol%20from%20certain%20applications.

https://twitter.com/nao_sec/status/1530196847679401984?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1530196847679401984%7Ctwgr%5E%7Ctwcon%5Es1_&ref_url=https%3A%2F%2Fwww.tenable.com%2Fblog%2Fcve-2022-30190-zero-click-zero-day-in-msdt-exploited-in-the-wild

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-30190