CVE-2024-21413 | Microsoft Outlook 远程代码执行漏洞 PoC

📜 描述

此脚本提供了CVE-2024-21413的概念验证（PoC），这是Microsoft Outlook中发现的一个严重安全漏洞，CVSS评分为9.8。该漏洞被称为#MonikerLink漏洞，具有深远的影响，包括可能泄露本地NTLM信息以及远程代码执行的可能性。此外，它强调了一种可能绕过Office受保护视图的攻击向量，从而将其威胁范围扩展至其他Office应用程序。

🚀 用法

请负责任地使用此工具，并确保已获得目标系统所有者的授权。此脚本需要SMTP身份验证来发送电子邮件，绕过SPF、DKIM和DMARC检查，这有助于更有效地模拟真实世界的攻击场景。

python CVE-2024-21413.py --server "<SMTP服务器>" --port <SMTP端口> --username "<SMTP用户名>" --password "<SMTP密码>" --sender "<发件人邮箱>" --recipient "<收件人邮箱>" --url "<链接URL>" --subject "<邮件主题>"

参数：

• --server: SMTP服务器主机名或IP。
• --port: SMTP服务器端口。
• --username: 用于身份验证的SMTP服务器用户名。
• --password: 用于身份验证的SMTP服务器密码。
• --sender: 发件人邮箱地址。
• --recipient: 收件人邮箱地址。
• --url: 要包含在邮件中的恶意路径。
• --subject: 邮件主题。

初始发送

在Outlook中显示（无警告，无受保护视图）

Wireshark捕获，包含NTLM凭据（也可以运行impacket作为替代）

🧐 为什么需要SMTP身份验证？

SMTP身份验证对于此演示至关重要，以确保发送的电子邮件绕过常见的邮件验证机制，如SPF（发件人策略框架）、DKIM（域名密钥识别邮件）和DMARC（基于域的消息认证、报告和一致性）。这些安全措施旨在检测和防止电子邮件欺骗，即攻击者使用伪造地址发送电子邮件。通过使用经过身份验证的SMTP，演示更接近地模拟了复杂攻击者如何绕过这些保护措施，使测试环境更加真实，并凸显了全面电子邮件安全实践的重要性。

演示

0点击 NTLM 泄露

1点击 远程代码执行（RCE）

📆 更新日志

[2024年2月19日] - 新增0点击NTLM泄露

• 确认并管理了0点击NTLM泄露（感谢JT!）
• 尚未发布

[2024年2月18日] - 新增1点击RCE

• 管理并确认了Microsoft Outlook远程代码执行（RCE）
• 尚未发布

[2024年2月16日] - 初始发布

• 初始发布，展示了CVE-2024-21413的利用方法。

致谢

• Checkpoint 完成了所有出色的研究。
• Microsoft安全公告

📌 作者

Alexander Hagenah

• 网站
• Twitter
• LinkedIn

⚠️ 免责声明

此工具仅用于教育和道德测试目的。未经授权对系统进行扫描、测试或利用是非法且不道德的。请确保您已获得明确的授权许可，才能对目标系统进行任何测试或利用活动。