## https://sploitus.com/exploit?id=KITPLOIT:TOOLS-GITHUB-MUHAMMAD-ALI007-FOLLINA_MSDT_CVE-2022-30190
Microsoft erklärt, dass „eine Remote-Codeausführungsschwachstelle vorliegt, wenn MSDT über das URL-Protokoll von einer aufrufenden Anwendung wie Word aufgerufen wird. Ein Angreifer, der diese Schwachstelle erfolgreich ausnutzt, kann beliebigen Code mit den Berechtigungen der aufrufenden Anwendung ausführen. Der Angreifer kann dann Programme installieren, Daten anzeigen, ändern oder löschen oder neue Konten im Rahmen der Benutzerrechte erstellen“. (https://msrc-blog.microsoft.com/2022/05/30/guidance-for-cve-2022-30190-microsoft-support-diagnostic-tool-vulnerability/)
Microsoft gibt an, dass „das Microsoft Support Diagnostic Tool (MSDT) Informationen sammelt, um sie an den Microsoft-Support zu senden. Dieser analysiert die Informationen und verwendet sie, um die Lösung für Probleme zu ermitteln, die auf Ihrem Computer auftreten können“. In diesem Sinne ist es im Wesentlichen eine Möglichkeit für den Microsoft-Support, sofort zu sehen, was nicht stimmt, da alle benötigten Informationen direkt von der Quelle stammen.
Erklärung des Exploits
Beginnen wir mit einem Haftungsausschluss: Für unsere Zwecke laden wir unsere Payload über ein Word-Dokument, insbesondere im .docx-Format – dies ist der ursprüngliche Exploit, der in freier Wildbahn entdeckt wurde. Es hat sich jedoch gezeigt, dass diese Schwachstelle auch in einer Reihe anderer Office-Produkte funktioniert.
Zwei wichtige Aspekte dieser Schwachstelle sind: 1 - Bestimmte DOCX-Dateien enthalten OLE-Objektverweise (OLE steht ursprünglich für Object Linking and Embedding), die manchmal die Form von extern gehosteten HTML-Dateien annehmen. 2 - MS-MSDT ermöglicht die Codeausführung.
Kombiniert man diese beiden Aspekte, kann ein MS-MSDT-HTML-Schema verwendet werden, um PowerShell-Code auszufĂĽhren, und eine DOCX-Datei kann verwendet werden, um ihn ĂĽber die externe Verweisfunktion von Word zu laden.
Genauer gesagt: In der DOCX-Struktur enthält die Datei „word/_rels/document.xml.rels“ ein XML-Tag `<Relationship>` mit einem Attribut `Type="http://schemas.openxmlformats.org/officeDocument/2006/relationships/oleObject"`, das einen externen oleObject-Verweis beschreibt. Um diese DOCX-Funktion auszunutzen, können wir den Inhalt dieses Tags so bearbeiten, dass er stattdessen auf die von uns gehostete Payload zeigt, indem wir den Target-Wert in und den TargetMode-Wert in ändern.