dhananjayasj/cve-2024-21413-microsoft-outlook-remote-code-execution-vulnerabilityProof-of-Concept-Exploit für CVE-2024-21413, eine kritische Outlook-RCE-Sicherheitslücke, die NetNTLMv2-Hashes über manipulierte file://-Links preisgibt, was Diebstahl von Anmeldeinformationen und laterale Bewegung ermöglicht.
CVE-2024-21413 ist eine kritische Schwachstelle zur Remotecodeausführung in Microsoft Outlook (einschließlich Versionen von Microsoft 365 Apps, Outlook 2016/2019, Office LTSC 2021 vor dem Februar-2024-Patch). Sie ermöglicht es einem nicht authentifizierten Angreifer, die Geschützte Ansicht (Protected View) von Outlook zu umgehen, indem er eine speziell präparierte E-Mail mit einem file://-Link und einem Ausrufezeichen (!) sendet. Wenn das Opfer auf den Link klickt (oder die E-Mail nur in der Vorschau betrachtet), versucht Outlook automatisch, eine Verbindung zum SMB-Server des Angreifers herzustellen, wodurch der NetNTLMv2-Hash des Opfers preisgegeben wird.
Mit diesen Anmeldeinformationen kann der Angreifer das Passwort knacken oder einen Pass‑the‑Hash-Angriff durchführen, um sich als das Opfer auszugeben, lateral im Netzwerk zu bewegen oder Remotecodeausführung zu erreichen.
CVSS-Score: 9.8 (Kritisch) CWE: CWE-20 (Unzureichende Eingabevalidierung) Gepatchte Version: Microsoft-Sicherheitsupdate (KB5002519 für Office 2016) veröffentlicht am 13. Februar 2024
⚙️ So funktioniert der Exploit Der Angreifer richtet einen SMB-Listener auf seinem Rechner ein (z. B. Responder).
Der Angreifer sendet eine E-Mail an das Opfer mit einem Hyperlink wie: file:///test!exploit
Das Opfer öffnet die E-Mail und klickt auf den Link (oder der Link wird im Lesebereich in der Vorschau angezeigt).
Outlook stellt eine SMB-Verbindung zu her und sendet automatisch den Windows-Benutzernamen und den NTLM-Hash des Opfers.
Der Angreifer erfasst den Hash mit Responder.
Der Angreifer knackt den Hash offline oder leitet ihn weiter, um sich als das Opfer auf anderen Systemen zu authentifizieren.
