CVE-2024-21413-Microsoft-Outlook-Remote-Code-Execution-Vulnerability

CVE-2024-21413 est une vulnérabilité critique d'exécution de code à distance dans Microsoft Outlook (versions incluant Microsoft 365 Apps, Outlook 2016/2019, Office LTSC 2021 avant le correctif de février 2024).

Elle permet à un attaquant non authentifié de contourner le Mode protégé d'Outlook en envoyant un e-mail spécialement conçu contenant un lien file:// avec un point d'exclamation (!). Lorsque la victime clique sur le lien (ou même si elle ne fait qu'apercevoir l'e-mail), Outlook tente automatiquement de se connecter au serveur SMB de l'attaquant, divulguant le hash NetNTLMv2 de la victime.

Avec ces identifiants, un attaquant peut casser le mot de passe ou effectuer une attaque Pass-the-Hash afin d'usurper l'identité de l'utilisateur, se déplacer latéralement sur le réseau ou exécuter du code à distance.

Score CVSS : 9.8 (Critique) CWE : CWE-20 (Validation incorrecte des entrées) Version corrigée : mise à jour de sécurité Microsoft (KB5002519 pour Office 2016) publiée le 13 février 2024

⚙️ Comment fonctionne l'exploit

• L'attaquant configure un écouteur SMB sur sa machine (par exemple, Responder).
• L'attaquant envoie un e-mail à la victime contenant un lien hypertexte du type : file:///test!exploit
• La victime ouvre l'e-mail et clique sur le lien (ou le lien est affiché dans le volet de lecture).
• Outlook établit une connexion SMB vers , envoyant automatiquement le nom d'utilisateur Windows et le hash NTLM de la victime.
• L'attaquant capture le hash avec Responder.
• L'attaquant casse le hash hors ligne ou le relaie pour s'authentifier en tant que victime sur d'autres systèmes.