奇安信 - Microsoft Windows 支持診斷工具 (MSDT) 遠程代碼執行漏洞安全風險通告－鑽石舞台

奇安信CERT

致力於第一時間為企業級用戶提供安全風險通告和有效解決方案。

安全通告

近日，奇安信CERT監測到Microsoft Windows 支持診斷工具(MSDT)遠程代碼執行漏洞的在野利用、PoC、EXP、技術細節。攻擊者可通過惡意Office文件中遠程模板功能從服務器獲取惡意HTML文件，通過 'ms-msdt' URI來執行惡意PowerShell代碼。值得注意的是，該漏洞在宏被禁用的情況下，仍能通過MSDT（Microsoft Support Diagnostics Tool）功能執行代碼，當資源管理器中的預覽功能打開時，甚至無需打開文件，僅通過單擊文件，在右側預覽窗格預覽即可觸發該漏洞。目前，奇安信CERT已監測到此漏洞的在野利用、PoC、EXP及利用細節，鑑於該漏洞目前處於在野利用狀態，建議用戶儘快採取緩解措施避免受此漏洞影響。

漏洞名稱

Microsoft Windows 支持診斷工具(MSDT)遠程代碼執行漏洞

公開時間

2022-05-30

更新時間

2022-05-31

CVE編號

CVE-2022-30190

其他編號

QVD-2022-7976

威脅類型

代碼執行

技術類型

安全特性繞過

廠商

Microsoft

產品

Windows

風險等級

奇安信CERT風險評級

風險等級

高危

藍色（一般事件）

現時威脅狀態

POC狀態

EXP狀態

在野利用狀態

技術細節狀態

已公開

已發現

已公開

漏洞描述

Word等應用程序使用 URL 協議調用 MSDT 時存在遠程執行代碼漏洞。成功利用此漏洞的攻擊者可以使用調用應用程序的權限運行任意代碼。攻擊者可以安裝程序、查看、更改或刪除數據，或者在用戶權限允許的上下文中創建新帳戶。

影響版本

Windows Server 2012 R2 (Server Core installation)

Windows Server 2012 R2

Windows Server 2012 (Server Core installation)

Windows Server 2012

Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)

Windows Server 2008 R2 for x64-based Systems Service Pack 1

Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation)

Windows Server 2008 for x64-based Systems Service Pack 2

Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation)

Windows Server 2008 for 32-bit Systems Service Pack 2

Windows RT 8.1

Windows 8.1 for x64-based systems

Windows 8.1 for 32-bit systems

Windows 7 for x64-based Systems Service Pack 1

Windows 7 for 32-bit Systems Service Pack 1

Windows Server 2016 (Server Core installation)

Windows Server 2016

Windows 10 Version 1607 for x64-based Systems

Windows 10 Version 1607 for 32-bit Systems

Windows 10 for x64-based Systems

Windows 10 for 32-bit Systems

Windows 10 Version 21H2 for x64-based Systems

Windows 10 Version 21H2 for ARM64-based Systems

Windows 10 Version 21H2 for 32-bit Systems

Windows 11 for ARM64-based Systems

Windows 11 for x64-based Systems

Windows Server, version 20H2 (Server Core Installation)

Windows 10 Version 20H2 for ARM64-based Systems

Windows 10 Version 20H2 for 32-bit Systems

Windows 10 Version 20H2 for x64-based Systems

Windows Server 2022 Azure Edition Core Hotpatch

Windows Server 2022 (Server Core installation)

Windows Server 2022

Windows 10 Version 21H1 for 32-bit Systems

Windows 10 Version 21H1 for ARM64-based Systems

Windows 10 Version 21H1 for x64-based Systems

Windows Server 2019 (Server Core installation)

Windows Server 2019

Windows 10 Version 1809 for ARM64-based Systems

Windows 10 Version 1809 for x64-based Systems

Windows 10 Version 1809 for 32-bit Systems

不受影響版本

暫無

其他受影響組件

暫無

奇安信紅雨滴團隊已成功復現Microsoft Windows 支持診斷工具(MSDT)遠程代碼執行漏洞，復現截圖如下:

風險等級

奇安信 CERT風險評級為：高危

風險等級：藍色（一般事件）

威脅評估

漏洞名稱

Microsoft Windows支持診斷工具(MSDT)遠程代碼執行漏洞

CVE編號

CVE-2022-30190

其他編號

QVD-2022-7976

CVSS 3.1評級

高危

CVSS 3.1分數

7.8

CVSS向量

訪問途徑（AV）

攻擊複雜度（AC）

本地

低

所需權限（PR）

用戶交互（UI）

不需要

需要

影響範圍（S）

機密性影響（C）

不變

高

完整性影響（I）

可用性影響（A）

高

危害描述

攻擊者可通過惡意Office文件中遠程模板功能從服務器獲取惡意HTML文件，通過 'ms-msdt' URI來執行任意代碼。

處置建議

用戶可通過執行以下緩解方案避免受該漏洞影響：

1.警惕下載來路不明的文檔，同時關閉預覽窗格。

2.升級Microsoft Defender 防病毒軟件到1.367.719.0或更高版本。在以下簽名下，Microsoft Defender 防病毒軟件可以為該漏洞利用提供檢測和保護：

木馬:Win32/Mesdetty.A

木馬:Win32/Mesdetty.B

行為:Win32/MesdettyLaunch.A

行為:Win32/MesdettyLaunch.B

行為:Win32/MesdettyLaunch.C

3.如果在您的環境中使用Microsoft Defender的 Attack Surface Reduction(ASR)規則，則在Block模式下激活「阻止所有Office應用程序創建子進程」規則。若您還沒有使用ASR規則，可先在Audit模式下運行規則，並監視其結果，以確保不會對用戶造成不利影響；

4.移除ms-msdt的文件類型關聯，在windows註冊表找到HKCR:\ms-msdt並刪除該條目。當惡意文檔被打開時，Office將無法調用ms-msdt，從而阻止惡意軟件運行。注意在使用此緩解方案之前，請確保對註冊表設置進行備份。

通過命令行刪除：

1、以管理員身份運行命令提示符。

2、要備份註冊表項，請執行命令"reg export HKEY_CLASSES_ROOT\ms-msdt filename"。

3、執行命令"reg delete HKEY_CLASSES_ROOT\ms-msdt /f"。

圖形化示例：