読んだ記事
https://unit42.paloaltonetworks.jp/cve-2022-30190-msdt-code-execution-vulnerability/
2022年5月27日、リモートテンプレートを利用する悪意のあるWord文書がms-msdt Office URIスキームによりPowerShellを実行する手口の詳細が明らかになってきました。このテクニックを使用すると、攻撃者はローカルのOfficeマクロポリシーをバイパスし、Wordのコンテキスト内でコードを実行することができるようです。その後、Microsoftは保護のガイダンスを公開し、この脆弱性にCVE-2022-30190を割り当てました。
メモ
- ほとんどのWindowsPCとWindowsサーバーに診断ツール(MSDT)が内包されている。コマンドラインでmsdtと入力してポップアップが出ることでインストールされていることを確認できる。
- 今回はこのmsdtを「http://」のように「ms-msdt:/」とした形式(URLプロトコル)で呼び出したときに攻撃者が指定したプログラムを実行できることが分かった。現時点で緩和策はあるが抜本的な対策はない。
- 例示されたのはOfficeファイル(Word, Excel...)を使う方法だけど、リッチテキストファイル(拡張子が.rtf)でもOK。悪さするコードが仕込まれたOfficeファイルを開くまたはプレビューすると、攻撃者が意図するコードが実行される。
- もともとOfficeファイルはいくつかのファイルで構成されている（Office Open XML Formats)。例示された方法は、そのうちの .rels ファイルの中で指定したサイトからhtmlファイルを読み込み、その中にmsdtをURLプロトコルで呼び出すコードを記載する方法。
- Microsoftからはレジストリを変更する緩和策が案内されているが実施はさすがに難しいし、やるとしてもダルイはず。なお例示され方法を実行してみると「Microsoft Defender」では重大な脅威としてブロックされた。（ちなみにWin10）
気づき
- ms-msdt:/id PCWDiagnostic を使っているけど、PCWDiagnostic だけがいけないのか？
- /param で渡した javascript を実行することになっている。
参考になったサイト
Guidance for CVE-2022-30190 Microsoft Support Diagnostic Tool Vulnerability
Microsoft Windows Support Diagnostic Tool (MSDT) Remote Code Execution Vulnerability
Office --> MSDT --> RCE
