CVE-2024-21413-Microsoft-Outlook-Remote-Code-Execution-Vulnerability

CVE-2024-21413 は、Microsoft Outlook（Microsoft 365 Apps、Outlook 2016/2019、2024年2月のパッチ適用前の Office LTSC 2021 を含む）における重大なリモートコード実行の脆弱性です。 認証されていない攻撃者は、感嘆符（!）を含む file:// リンクが埋め込まれた特別に細工されたメールを送信することで、Outlook の Protected View をバイパスできます。被害者がリンクをクリックすると（またはメールをプレビューするだけでも）、Outlook は自動的に攻撃者の SMB サーバーへの接続を試み、被害者の NetNTLMv2 ハッシュが漏えいします。

これらの資格情報を使用すると、攻撃者はパスワードをクラックするか、Pass‑the‑Hash 攻撃を実行して、ユーザーになりすまし、ネットワーク内を横方向に移動し、リモートコード実行を達成することができます。

CVSS スコア: 9.8（緊急） CWE: CWE-20（不適切な入力検証） 修正済みバージョン: 2024年2月13日にリリースされた Microsoft セキュリティ更新プログラム（Office 2016 用 KB5002519）

⚙️ エクスプロイトの仕組み 攻撃者は自分のマシン上に SMB リスナー（例: Responder）をセットアップします。

攻撃者は、次のようなハイパーリンクを含むメールを被害者に送信します: file:///test!exploit

被害者はメールを開いてリンクをクリックします（またはリンクが閲覧ウィンドウでプレビューされます）。

Outlook は への SMB 接続を行い、被害者の Windows ユーザー名と NTLM ハッシュを自動的に送信します。

攻撃者は Responder でハッシュをキャプチャします。

攻撃者はハッシュをオフラインでクラックするか、リレーして他のシステムで被害者として認証します。