CVE-2024-21413-Microsoft-Outlook-Remote-Code-Execution-Vulnerability

CVE-2024-21413 è una vulnerabilità critica di esecuzione remota di codice in Microsoft Outlook (versioni incluse Microsoft 365 Apps, Outlook 2016/2019, Office LTSC 2021 precedenti alla patch di febbraio 2024). Consente a un attaccante non autenticato di aggirare la Visualizzazione protetta di Outlook inviando un'email appositamente predisposta contenente un link file:// con un punto esclamativo (!). Quando la vittima fa clic sul link (o anche solo visualizza l'anteprima dell'email), Outlook tenta automaticamente di connettersi al server SMB dell'attaccante, causando la perdita dell'hash NetNTLMv2 della vittima.

Con queste credenziali, un attaccante può crackare la password o eseguire un attacco Pass‑the‑Hash per impersonare l'utente, muoversi lateralmente nella rete o ottenere l'esecuzione remota di codice.

Punteggio CVSS: 9.8 (Critico) CWE: CWE-20 (Convalida impropria dell'input) Versione con patch: aggiornamento di sicurezza Microsoft (KB5002519 per Office 2016) rilasciato il 13 febbraio 2024

⚙️ Come Funziona l'Exploit L'attaccante configura un listener SMB sulla propria macchina (es. Responder).

L'attaccante invia un'email alla vittima contenente un collegamento ipertestuale come: file:///test!exploit

La vittima apre l'email e fa clic sul link (oppure il link viene visualizzato in anteprima nel riquadro di lettura).

Outlook effettua una connessione SMB verso , inviando automaticamente il nome utente Windows e l'hash NTLM della vittima.

L'attaccante cattura l'hash con Responder.

L'attaccante cracka l'hash offline oppure lo inoltra per autenticarsi come vittima su altri sistemi.