CVE-2024-21378 微软outlook RCE漏洞分析

2024年6月18日16:00:11评论11 views字数 10330阅读34分26秒阅读模式

漏洞概述

这种攻击的原始变体由SensePost（Orange CyberDefense）的Etienne Stalmans在2017年记录，并利用Outlook表单对象中的VBScript代码以获得对邮箱的访问权限。作为回应，发布了一个补丁，以强制执行自定义表单中脚本代码的允许列表。然而，这些表单对象的同步能力从未改变。

在底层，表单使用IPM.Microsoft.FolderDesign.FormsDescription对象通过MAPI进行同步。这些对象携带特殊的属性和附件，用于在客户端首次使用时“安装”表单。以下是这个过程的概述：

Outlook请求实例化特定的消息类（IPM.Note.Evil）。
相关文件夹的MAPI关联内容表被查询以获取IPM.Microsoft.FolderDesign.FormsDescription对象。
如果存储在PidTagOfflineAddressBookName属性中的类名匹配，则开始表单安装过程。
PidTagOfflineAddressBookDistinguishedName用作新表单安装的CLSID（所有表单都是COM对象）。
表单描述的第一个附件和特殊属性0x6902001F确定需要在CLSID下添加哪些注册表键以安装表单。

在旧风格的表单中（“绕过Outlook的表单”），这些注册表值通常包括InProcServer键或等效项，它们绑定到磁盘上提取的DLL。
在较新的表单中，使用Outlook特定的MsgClass键将表单绑定到磁盘上提取的OLE对象。
在这些键中的任何一个内部，%d可以用来指代剩余表单附件被提取的目录（%localappdata%MicrosoftFORMS)。

确认注册表更改后，Outlook继续将表单加载为COM对象。

这个过程存在一些严重问题：

在将附件提取到*%localappdata%MicrosoftFORMS时，您可以通过PidTagAttachFilename*属性执行路径遍历。您也可以将多个文件写入磁盘。这本质上是每次安装表单时的任意磁盘写入原语。
在为表单创建注册表键时，0x6902001F属性数据通过新行断开，期望key=value行。每行都被处理，其中key是CLSID根的子键，value是该键的默认值。为了防止“绕过Outlook的表单”，典型的COM服务器键（InProcServer，LocalServer等）的拒绝列表与每行的开头（OLMAPI32.DLL）进行比较。然而，在安装值时，您可以使用前导字符来暗示HKCR下的完整子键路径。例如，CLSIDInprocServer32=%devil.dll将绕过拒绝列表检查，并导致表单的完整COM对象注册。

我们发现我们有能力在磁盘上创建任意文件，以及在HKEY_CLASSES_ROOT（HKCR）下安装任意注册表键（带默认值）。这些原语足以获得微不足道的RCE。

深入审查

设置舞台

通常，我们认为这是基于使用受损凭据通过Exchange同步对象的一系列攻击的第四次迭代。2015年底，Dreadnode的联合创始人Nick Landers发表了一篇博客，讲述了滥用Outlook规则进行RCE。在接下来的几年中，Etienne（SensePost）和Nick双重发现了另外两组最终被微软修补的向量，包括滥用Outlook表单。SensePost发布了一组优秀的博客（见参考文献），深入挖掘了漏洞和底层技术以及利用工具，Ruler。

我们打算重新回到这项研究，因为我们认为Outlook具有一个庞大且未被充分探索的攻击面，我们在最近几年与设备代码网络钓鱼/假冒的反复成功是我们所需要的最后推动力。

我们通过手动探索Outlook客户端中的Outlook表单，以及使用MFCMAPI和ProcMon开始了我们的研究。我们将保持对底层技术概述的高层次，但基本上Outlook中可用的各种项目（消息、日历邀请、任务等）是通过“检查器窗口”中的表单结构显示的。Outlook既包含标准表单，也允许通过Exchange（包括Exchange Online）发布和同步自定义表单。

在研究过程中，我们发现了表单配置文件格式，可以用来安装自定义表单。特别感兴趣的是文件和注册表条目。

文件条目列出了表单库维护并加载到磁盘缓存中的新子目录中的表单服务器应用程序可执行文件。。。

每当使用文件条目时，注册表条目用于标识表单库的注册表键，其中存储了表单服务器应用程序的可执行文件。。。

我们首先尝试证明本地代码执行。下面是一个示例表单配置，我们可以直接导入到Outlook中以安装表单。我们将文件条目设置为我们希望与我们的表单一起安装的DLL的位置，并将此文件保存到c:pochello.cfg。

[Description] 
MessageClass=IPM.Note.Hello 
CLSID={00000000-1234-1234-1234-000000000000} 
DisplayName=Hello 
Category=Standard 
Subcategory=Form 
Comment=Hello 
SmallIcon=C:WindowsSysWOW64OneDrive.ico 
LargeIcon=C:WindowsSysWOW64OneDrive.ico

[Platforms]
Platform1=Win16

[Platform.Win16]
CPU=ix86
OSVersion=Win3.1
File = C:pochello.dll
Registry = InprocServer32 = %dhello.dll

为了测试目的，我们编译了一个包含DllMain中的执行原语的DLL，并再次将其放置在我们上述hello.cfg文件相同的文件夹中。

#include <Windows.h>

BOOL APIENTRY DllMain(HMODULE module, DWORD reason, LPVOID reserved) {

if (reason == DLL_PROCESS_ATTACH) {

MessageBoxA(0, "Hello", "Ruh Roh", 0);

}

return TRUE;

}

然后，可以通过导航到文件 -> 选项 -> 高级 -> 自定义表单并选择hello.cfg文件，在Outlook中安装表单。

注意：我们通过配置文件在收件箱中安装自定义表单时将位置设置为收件箱。