WPS Office从路径穿越到远程代码执行漏洞(CVE-2024-7262)分析与复现

WPS Office程序promecefpluginhost.exe存在不当路径验证问题，允许攻击者在Windows上加载任意Windows库文件。该漏洞已被APT-C-60攻击者利用，当用户打开MHTML格式的文档时，只需单击一个恶意制作的超链接，即可执行攻击者指定的恶意库文件，实现远程代码执行。

WPS Office版本12.2.0.13110-12.2.0.16412

WPS程序安装后注册了一个名为 ksoqing 的自定义URL协议，注册表路径为：计算机HKEY_CLASSES_ROOTksoqingshellopencommand，其内容为”C:Users【用户名】AppDataLocalKingsoftWPS Office12.2.0.13110office6wps.exe” /qingbangong “%1″。即访问以ksoqing 开头的URL协议时，将启动wps.exe程序，并传递/qingbangong参数，%1则被替换为以ksoqing 开头的协议链接，一并作为wps启动的参数。

此时wps.exe程序解析参数/qingbangong，并将ksoqing链接内容一并发送到 C:Users【用户名】AppDataLocalKingsoftWPS Office12.2.0.13110office6wpscloudsvr.exe

wpscloudsvr.exe中的qingbangong.dll解析自定义URL链接内容。当type参数为ksolaunch时，将启动launchname参数指定的程序，参数使用base64编码。

launchname参数指定的程序启动时，wpscloudsvr.exe会将URL链接中的cmd参数使用base64解码，然后传递给它。

如果launchname参数指定的是promecefpluginhost.exe，该程序启动后，将加载ksojscore.dll，然后解析命令行中的-JSCefServicePath。

这个参数可以指定一个文件名，这个文件会被kso_qt::QLibrary::load函数加载到内存执行。默认情况下，如果只是指定一个文件名，会按照DLL搜索顺序搜索和加载这个文件，比如加载同EXE目录下指定的DLL文件。但是这个参数未做任何过滤，可以指定“..”包含目录的路径，存在路径穿越漏洞，可以加载任意指定的DLL文件，最终实现任意代码执行。

使用路径穿越的漏洞可以加载指定DLL文件，但这还不够。APT-C-60攻击者使用MHTML格式的xls电子表格文件，利用其特性，实现下载远程DLL文件的目的。WPS支持MHTML格式的文档，这种文档可以包含 HTML、CSS 和 JavaScript 等文件，方便在浏览器中显示文档。

文档中可以使用img标签，指定远程DLL文件。

当文档被打开时，wps使用_XUrlDownloadToCacheFile函数下载文件到temp目录下的wpsINetCache目录中。

下载后的文件名，使用的是下载链接（UNICODE编码）的MD5值。

最终配合上述路径穿越漏洞，在-JSCefServicePath参数中指定下载的文件名，实现远程代码执行。这里还有一个小技巧，因为下载后的文件名并没有.dll后缀，而在加载的时候如果没有指定.dll后缀，会自动补上该后缀再加载。为了避免在加载的时候找不到指定文件导致失败，在-JSCefServicePath参数中指定下载的文件名时，需要在文件名最后额外加个“.”。

新建xls格式的文档，添加超链接，超链接可任意，并另存为MHTML格式的文档。

根据远程DLL的下载链接，使用poc.py计算下载后的文件名，并最终生成ksoqing协议链接。

将ksoqing链接替换导出的MHTML格式文档中的超链接。

再根据远程DLL的下载链接，添加img标签，实现远程下载DLL文件。

开启远程DLL下载服务，然后打开MHTML文档，点击超链接，触发漏洞。

ddpoc链接：

https://www.ddpoc.com/DVB-2024-8279.html