dhananjayasj/cve-2024-21413-microsoft-outlook-remote-code-execution-vulnerabilityCVE-2024-21413에 대한 개념 증명 익스플로잇으로, 조작된 file:// 링크를 통해 NetNTLMv2 해시를 유출하여 자격 증명 탈취 및 수평 이동을 가능하게 하는 심각한 Outlook RCE 취약점입니다.
CVE-2024-21413은 Microsoft Outlook(버전: Microsoft 365 Apps, Outlook 2016/2019, 2024년 2월 패치 이전의 Office LTSC 2021)에서 발견된 심각한 원격 코드 실행 취약점입니다. 이 취약점을 통해 인증되지 않은 공격자는 파일 경로(file://) 링크와 느낌표(!)가 포함된 특수 제작된 이메일을 보내 Outlook의 보호된 보기(Protected View)를 우회할 수 있습니다. 피해자가 링크를 클릭하거나 이메일을 미리 보기만 해도 Outlook이 자동으로 공격자의 SMB 서버에 연결을 시도하여 피해자의 NetNTLMv2 해시가 유출됩니다.
이러한 자격 증명을 이용해 공격자는 비밀번호를 크래킹하거나 Pass‑the‑Hash 공격을 수행하여 사용자를 가장하고, 네트워크 측면 이동(lateral movement)을 하거나 원격 코드 실행을 달성할 수 있습니다.
CVSS 점수: 9.8 (심각) CWE: CWE-20 (부적절한 입력 검증) 패치 버전: 2024년 2월 13일 출시된 Microsoft 보안 업데이트(Office 2016용 KB5002519)
⚙️ 익스플로잇 작동 방식
공격자는 자신의 머신에 SMB 리스너를 설정합니다(예: Responder).
공격자는 피해자에게 다음과 같은 하이퍼링크가 포함된 이메일을 보냅니다: file:///test!exploit
피해자가 이메일을 열고 링크를 클릭하거나(또는 읽기 창에서 링크가 미리 보기됨).
Outlook이 로 SMB 연결을 만들고 피해자의 Windows 사용자 이름과 NTLM 해시를 자동으로 전송합니다.
공격자는 Responder로 해시를 캡처합니다.
공격자는 해시를 오프라인에서 크래킹하거나 릴레이하여 다른 시스템에서 피해자로 인증합니다.
