CVE-2022-30190

2022年5月30日星期一，微软发布了关于Windows中微软支持诊断工具（MSDT）漏洞的CVE-2022-30190。

当通过URL协议从Word等调用应用程序调用MSDT时，存在一个远程代码执行漏洞。成功利用此漏洞的攻击者可以以调用应用程序的权限运行任意代码。攻击者随后可以在用户权限允许的上下文中安装程序、查看、更改或删除数据，或创建新帐户。

https://nvd.nist.gov/vuln/detail/CVE-2022-30190

有关使用Microsoft Sentinel进行威胁狩猎和告警的更多信息，请访问sentinel目录。

概念验证

以下是两个POC仓库。我们确认John Hammond的POC有效。我们用它通过Word文档打开"记事本"窗口来验证告警。

https://github.com/JohnHammond/msdt-follina

https://github.com/onecloudemoji/CVE-2022-30190

缓解措施指南

https://www.sentinelone.com/blog/staying-ahead-of-cve-2022-30190-follina/

https://msrc-blog.microsoft.com/2022/05/30/guidance-for-cve-2022-30190-microsoft-support-diagnostic-tool-vulnerability/

参考

https://nvd.nist.gov/vuln/detail/CVE-2022-30190

https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2022-30190

https://www.tenable.com/blog/cve-2022-30190-zero-click-zero-day-in-msdt-exploited-in-the-wild#:~:text=CVE-2022-30190%20is%20a%20remote%20code%20execution%20vulnerability%20in,called%20using%20the%20URL%20protocol%20from%20certain%20applications.

https://twitter.com/nao_sec/status/1530196847679401984?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1530196847679401984%7Ctwgr%5E%7Ctwcon%5Es1_&ref_url=https%3A%2F%2Fwww.tenable.com%2Fblog%2Fcve-2022-30190-zero-click-zero-day-in-msdt-exploited-in-the-wild

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-30190