GÜNCELLEME 14 Şubat 16:50 EST: Microsoft, CVE-2024-21413 Danışmanlığına eklenen "Aktif Sömürü" güncellemesini geri çektikten sonra revize edilen makale ve başlık.
Microsoft, uzaktan bilgisiz saldırganların, ofis korumalı görünümünü atlamalarını sağlayan kritik bir Outlook güvenlik açığından önemsiz bir şekilde yararlanabileceğini söylüyor.
Check Point güvenlik açığı araştırmacısı Haifei Li tarafından keşfedilen ve CVE-2024-21413 olarak izlenen bu hata, savunmasız bir Microsoft Outlook sürümü kullanarak kötü amaçlı bağlantılarla e-postalar açarken uzaktan kod yürütülmesine (RCE) yol açar.
Bunun nedeni, kusurun ayrıca saldırganların korunan görünümü (ofis dosyalarına gömülü zararlı içeriği salt okunur modda açarak engellemek için tasarlanmış) ve düzenleme modunda kötü amaçlı ofis dosyalarını açmak için tasarlanmıştır.
Redmond ayrıca, önizleme bölmesinin bu güvenlik kusuru için bir saldırı vektörü olduğu konusunda uyardı ve kötü niyetli bir şekilde hazırlanmış ofis belgelerini önizlemede bile başarılı bir sömürüye izin verdi.
Kimlik dışı saldırganlar, kullanıcı etkileşimi gerektirmeyen düşük karmaşık saldırılarda uzaktan CVE-2024-21413'ten yararlanabilir.
Microsoft, "Bu güvenlik açığını başarıyla kullanan bir saldırgan, okuma, yazma ve işlevselliği silme gibi yüksek ayrıcalıklar kazanabilir."
"Bir saldırgan, yerel NTLM kimlik bilgisi bilgilerinin ve uzaktan kod yürütmenin (RCE) sızmasına yol açan korumalı görünüm protokolünü atlayan kötü niyetli bir bağlantı oluşturabilir."
CVE-2024-21413, Microsoft Office LTSC 2021 ve Enterprise için Microsoft 365 uygulamaları ve Microsoft Outlook 2016 ve Microsoft Office 2019 (genişletilmiş destek altında) dahil olmak üzere birden fazla ofis ürününü etkiler.
Bugün yayınlanan bir raporda Check Point ile açıklandığı gibi, Moniker Link olarak adlandırdıkları güvenlik açığı, saldırganların dosyayı kullanarak e-postalara gömülü kötü niyetli bağlantılar için yerleşik görünüm korumalarını atlamalarına izin veriyor: // protokolüne ve saldırganlara işaret eden bir ünlem işareti ekleme- kontrollü sunucular.
Ünlem işareti, belge uzantısından hemen sonra, aşağıda gösterildiği gibi bazı rastgele metinlerle birlikte (örneklerinde "bir şey" kullanılan kontrol noktası) eklenir:
Bu tür köprü, Outlook güvenlik kısıtlamasını atlar ve Outlook, herhangi bir uyarı veya hata atmadan bağlantı tıklandığında "\\ 10.10.111.111 \ test \ test.rtf" uzaktan kaynağına erişecektir.
Kusur, mkparsedisplayname güvensiz API nedeniyle tanıtıldı, bu nedenle güvenlik açığı onu kullanan diğer yazılımı da etkileyebilir.
Saldırıların CVE-2024-21413'ü başarıyla yararlanması etkisi, NTLM kimlik bilgisi bilgilerinin hırsızlığını, kötü niyetli olarak hazırlanmış ofis belgeleri aracılığıyla keyfi kod yürütülmesini içerir,
Check Point, "En son Windows 10/11 + Microsoft 365 (Office 2021) ortamlarında bu #MonikerLink Bug/Saldırı Vektörünü doğruladık." Dedi.
"Diğer ofis sürümleri/sürümleri de muhtemelen etkileniyor. Aslında, COM API'lerin özünde yer aldığı için, onlarca yıldır Windows/COM ekosisteminde var olan gözden kaçan bir konu olduğuna inanıyoruz. Tüm Outlook kullanıcılarına şiddetle tavsiye ediyoruz. Resmi yamayı mümkün olan en kısa sürede uygulayın. "
Microsoft, CVE-2024-21413 Güvenlik Danışmanlığını bugün bu görünüm hatasının Salı günü bu ayın yamasından önce sıfır gün olarak saldırılarda kullanıldığı konusunda uyardı.
Ancak şirket, "sömürünün var olduğunu belirtmek için sömürülen bayrak ve sömürülebilirlik değerlendirmesini yanlışlıkla güncellediğini" söyleyerek değişikliği geri döndürdü.
Citrix, saldırılarda sömürülen yeni Netscaler sıfır günlerini uyarıyor
CISA, federal ajansları bir hafta içinde Citrix RCE'yi yamaya itiyor
Jetbrains New TeamCity Auth Bypass Güvenlik Açığı
Kamu istismarlarını kullanarak RCE saldırılarına maruz kalan 45K Jenkins sunucuları
Kritik Jenkins RCE Kususu için Serbest Yardımlar, Şimdi Yama
Kaynak: Bleeping Computer