ИБ-специалист в одном твите написал PoC-эксплойт для критической уязвимости в Microsoft Word

Исследователь и эксперт по информационной безопасности Джошуа Дрейк в одном твите уместил код PoC-эксплойта для критической RCE-уязвимости в Microsoft Word.

RCE-уязвимость CVE-2023-21716 была исправлена в феврале и позволяет злоумышленнику добиться удаленного выполнения кода без предварительной аутентификации – хакер может просто отправить вредоносный RTF-файл жертве по электронной почте.

Дрейк первым обнаружил уязвимость в работе библиотеки «wwlib.dll» офисного пакета Office и сообщил о ней в подробном отчёте в Microsoft.

Согласно отчёту Дрейка, в версии RTF-парсера до февраля 2023 года в Microsoft Word был баг, связанный с повреждением кучи (хипа), который можно было вызвать «при работе с таблицей шрифтов (*\fonttbl*), содержащей чрезмерное количество шрифтов (*\f###*)».

В этом случае после запуска специального механизма переполнения кучи в системе происходила дополнительная обработка памяти, а киберпреступник мог использовать этот момент для выполнения произвольного кода в системе путём создания нужной структуры кучи.

Полная версия эксплоита состояла из 10 строк кода, включая комментарии. Но чтобы как можно больше системных администраторов обратили внимание на эту проблему и исправили уязвимые системы, исследователь уменьшил код эксплойта до одного твита.

Профильные эксперты выложили на GitHub инструмент для обнаружения попыток эксплуатации эксплойта Дрейка в неисправленных системах.