CVE-2017-8570

Источник: https://www.exploit-db.com/exploits/44263/

Использование: python packager_composite_moniker.py -s calc.sct -o example.rtf

Что?

Этот репозиторий содержит эксплойт Proof of Concept для CVE-2017-8570, также известной как уязвимость «Composite Moniker». Здесь демонстрируется использование трюка с Packager.dll для сброса sct-файла в каталог %TEMP% и его выполнения с помощью примитива, предоставляемого уязвимостью.

Почему?

Несколько причин.

1. Я хотел проверить, можно ли использовать трюк с сбросом файла через Packager.dll для эксплуатации этой уязвимости.
2. Насколько мне известно, все остальные публичные эксплойты для CVE-2017-8570 на самом деле эксплуатируют вариант «Script Moniker» уязвимости CVE-2017-0199 и не являются эксплойтами составного моникера.
3. Повысить осведомленность о методах эксплуатации, используемых в реальных атаках, и помочь защитникам обнаруживать попытки эксплуатации.

Как запустить

Просто запустите скрипт, указав Sct-файл для выполнения и имя выходного RTF-файла:

python packager_composite_moniker.py -s calc.sct -o example.rtf
[+] RTF file written to: example.rtf

Обнаружение

Я включил правило Yara для обнаружения попыток эксплуатации этой уязвимости через RTF.

Ссылки

• https://justhaifei1.blogspot.co.uk/2017/07/bypassing-microsofts-cve-2017-0199-patch.html
• https://securingtomorrow.mcafee.com/mcafee-labs/dropping-files-temp-folder-raises-security-concerns/
• https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-8570