securenetexpert/cve-2024-21413-moniker-link-writeupTechnischer Bericht zu CVE-2024-21413 (Moniker-Link-Schwachstelle)
Dieses Repository enthält eine technische Analyse von CVE-2024-21413, einer Sicherheitslücke im Umgang mit Moniker Links in Microsoft Outlook, die es Angreifern ermöglicht, die Geschützte Ansicht (Protected View) zu umgehen und durch Benutzerinteraktion NTLMv2-Zugangsdaten preiszugeben.
Das Labor wurde auf TryHackMe durchgeführt, und diese Analyse konzentriert sich darauf, den Angriffsablauf, die Auswirkungen und die gewonnenen Sicherheitserkenntnisse zu erläutern.
Diese Schwachstelle missbraucht die Art und Weise, wie Outlook Moniker Links verarbeitet, und ermöglicht den Zugriff auf eine vom Angreifer kontrollierte Remote-Ressource ohne entsprechende Sicherheitsprüfungen.
Der Angriff beginnt mit dem Versand einer bösartigen E-Mail, die einen präparierten Moniker Link enthält. Beim Öffnen in Outlook wirkt die E-Mail legitim und löst keine Warnungen der Geschützten Ansicht (Protected View) aus.
Sobald das Opfer auf den Link klickt, versucht Outlook, auf eine vom Angreifer kontrollierte Remote-Ressource zuzugreifen. Während dieses Vorgangs sendet der Rechner des Opfers automatisch NTLMv2-Authentifizierungsdaten über SMB.
Der beim Labor verwendete E-Mail-Zustellungs-Exploit basiert auf folgendem öffentlichen Proof of Concept:
(Der Exploit-Code selbst wurde nicht verändert und wird daher hier nicht vollständig reproduziert.)
Obwohl der Exploitation-Prozess einfach ist, sind die Auswirkungen erheblich.
Ein Angreifer kann:
Diese Schwachstelle zeigt, wie eine einzige Benutzerinteraktion zur Offenlegung von Zugangsdaten und zu weiteren Angriffsmöglichkeiten führen kann.
