【缝隙公告】Microsoft MSDT肆意代码执行缝隙（CVE-2022-30190）
颁布功夫 2022-05-310x00 缝隙概述
CVE ID | CVE-2022-30190 | 发现功夫 | 2022-05-30 |
类 型 | 代码执行 | 等 级 | 高危 |
远程利用 | 影响领域 | ||
攻击复杂度 | 低 | 用户交互 | 是 |
PoC/EXP | 已公开 | 在野利用 | 是 |
0x01 缝隙详情
5月30日，微软颁布安全布告，披露了 Microsoft MSDT中的肆意代码执行缝隙（CVE-2022-30190），该缝隙的CVSS评分为7.8。目前该缝隙已经公开披露，且已检测到在野利用。
MSDT（Microsoft Support Diagnostics Tool，微软支持诊断工具）是一种实用法式，用于排除故障并网络诊断数据以供专业人员分析和解决问题。
从 Word 等挪用利用法式使用 URL 和谈挪用 MSDT 时存在代码执行缝隙，成功利用该缝隙能够使用挪用利用法式的权限运行肆意代码，并在用户权限允许的领域内装置法式，查看、更改或删除数据，或创建新账户。缝隙复现如下：
该缝隙是隶属于白俄罗斯的IP地址上传到 VirusTotal的恶意Word 文档中检测到的。恶意文件通过利用 Word 的远程模板职能从服务器获取 HTML 文件，而后使用“ms-msdt://”URI 执行 PowerShell 代码。即便禁用了宏，Microsoft Word 也会通过 msdt执行代码。此表，当恶意文件保留为RTF体式时，甚至无需打开文件，通过资源治理器中的预览选项卡即可在指标系统上执行肆意代码。
影响领域
Windows Server 2012 R2 (Server Core installation)
Windows Server 2012 R2
Windows Server 2012 (Server Core installation)
Windows Server 2012
Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)
Windows Server 2008 R2 for x64-based Systems Service Pack 1
Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation)
Windows Server 2008 for x64-based Systems Service Pack 2
Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation)
Windows Server 2008 for 32-bit Systems Service Pack 2
Windows RT 8.1
Windows 8.1 for x64-based systems
Windows 8.1 for 32-bit systems
Windows 7 for x64-based Systems Service Pack 1
Windows 7 for 32-bit Systems Service Pack 1
Windows Server 2016 (Server Core installation)
Windows Server 2016
Windows 10 Version 1607 for x64-based Systems
Windows 10 Version 1607 for 32-bit Systems
Windows 10 for x64-based Systems
Windows 10 for 32-bit Systems
Windows 10 Version 21H2 for x64-based Systems
Windows 10 Version 21H2 for ARM64-based Systems
Windows 10 Version 21H2 for 32-bit Systems
Windows 11 for ARM64-based Systems
Windows 11 for x64-based Systems
Windows Server, version 20H2 (Server Core Installation)
Windows 10 Version 20H2 for ARM64-based Systems
Windows 10 Version 20H2 for 32-bit Systems
Windows 10 Version 20H2 for x64-based Systems
Windows Server 2022 Azure Edition Core Hotpatch
Windows Server 2022 (Server Core installation)
Windows Server 2022
Windows 10 Version 21H1 for 32-bit Systems
Windows 10 Version 21H1 for ARM64-based Systems
Windows 10 Version 21H1 for x64-based Systems
Windows Server 2019 (Server Core installation)
Windows Server 2019
Windows 10 Version 1809 for ARM64-based Systems
Windows 10 Version 1809 for x64-based Systems
Windows 10 Version 1809 for 32-bit Systems
0x02 安全建议
微软安全响应中心已经颁布了此缝隙的指南，受影响用户能够选择禁用MSDT URL和谈或利用非官方补�。�
禁用MSDT URL和谈
禁用 MSDT URL 和谈可预防故障排除法式作为链接启动，蕴含整个操作系统的链接。但依然能够使用其它方式接见故障排除法式。
1.以治理员身份运行号令提醒符。
2.要备份注册表项，请执行号令“reg export HKEY_CLASSES_ROOT\ms-msdt filename“。
3.执行号令“reg delete HKEY_CLASSES_ROOT\ms-msdt /f”。
撤销：
1.以治理员身份运行号令提醒符。
2.要复原备份注册表项，请执行号令“reg import filename”。
此表，Microsoft Defender 防病毒软件使用检测版本1.367.719.0?或更高版本为可能的缝隙利用提供检测和�；�；Microsoft Defender for Endpoint 为客户提供检测和警报；Microsoft 365 Defender 门户中的以下警报标题能够批示网络上的威胁活动：
l Office 利用法式的可疑行为
l Msdt.exe 的可疑行为
参考链接：
https://msrc-blog.microsoft.com/2022/05/30/guidance-for-cve-2022-30190-microsoft-support-diagnostic-tool-vulnerability/
非官方补丁
0patch 微补丁服务重要用于在官方建复可用之前�；は低�。0patch已经针对此缝隙为某些Windows版本颁布了免费的微补丁，但该补丁不会齐全禁用MSDT和谈处置法式，而只是增长了对用户提供的蹊径的算帐。把稳，要下载此微补丁，必要注册0patch帐户并装置0patch agent。该微补丁合用于以下Windows版本：
Windows 11 v21H2
Windows 10 v21H2
Windows 10 v21H1
Windows 10 v20H2
Windows 10 v2004
Windows 10 v1909
Windows 10 v1903
Windows 10 v1809
Windows 10 v1803
Windows 7
Windows Server 2008 R2
下载链接：
https://blog.0patch.com/2022/06/free-micropatches-for-follina-microsoft.html
其它建议
1.建议关关Windows资源治理器中的预览窗格，以解除它作为预览恶意文件时可利用的攻击媒介。
2. 若是您使用Microsoft Defender的 Attack Surface Reduction(ASR)规定，则可在Block模式下激活“阻止所有Office利用法式创建子过程”规定。若您还没有使用ASR规定，可先在Audit模式下运行规定，观察了局以确保不会对系统造成不利影响。
把稳：钻研人员将检测到在野利用的0 day缝隙标识为Microsoft Office 代码执行0 day缝隙（称为“Follina”），该缝隙影响了Office 2016 和 Office 2021等。本公告重要参考微软官方布告Microsoft Windows 支持诊断工具 (MSDT) 肆意代码执行缝隙。
0x03 参考链接
https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2022-30190
https://doublepulsar.com/follina-a-microsoft-office-code-execution-vulnerability-1a47fce5629e
https://www.huntress.com/blog/microsoft-office-remote-code-execution-follina-msdt-bug
https://thehackernews.com/2022/05/watch-out-researchers-spot-new.html
0x04 版本信息
版本 | 日期 | 批改内容 |
V1.0 | 2022-05-31 | 初次颁布 |
V2.0 | 2022-06-02 | 新增缓解措施等 |
0x05 附录
宝运莱官方网站简介
宝运莱官方网站公司成立于1996年，并于2010年6月23日在深交所中幼板正式挂牌上市，是国内极具实力的、占有齐全自主知识产权的网络安全产品、可信安全治理平台、安全服务与解决规划的综合提供商。
公司总部位于北京市中关村软件园，在全国各省、视注自治区设有分支机构，占有覆盖全国的渠路系统和技术支持中心，并在北京、上海、成都、昭通、长沙、荆门等多地设有研发中心。
多年来，宝运莱官方网站致力于提供拥有国际竞争力的自主创新的安全产品和最佳实际服务，援手客户全面提升其IT基础设施的安全性和出产效力，为打造和提升国际化的民族信息安全产业领军品牌而不懈致力。
关于宝运莱官方网站
宝运莱官方网站安全应急响应中心重要针对沉要安全缝隙的预警、跟踪和分享全球最新的威胁谍报和安全汇报。
关注以下公家号，获取全球最新安全资讯：
京公网安备11010802024551号