dhananjayasj/cve-2024-21413-microsoft-outlook-remote-code-execution-vulnerabilityЭксплойт доказательства концепции для CVE-2024-21413, критической уязвимости удаленного выполнения кода в Outlook, которая утекает хэши NetNTLMv2 через специально созданные ссылки file://, что позволяет красть учетные данные и перемещаться по сети.
CVE-2024-21413 — это критическая уязвимость удаленного выполнения кода в Microsoft Outlook (версии, включая Microsoft 365 Apps, Outlook 2016/2019, Office LTSC 2021 до патча февраля 2024 года). Она позволяет неаутентифицированному злоумышленнику обойти защищенный просмотр Outlook, отправив специально созданное письмо, содержащее ссылку file:// с восклицательным знаком (!). Когда жертва переходит по ссылке (или просто просматривает письмо в области чтения), Outlook автоматически пытается подключиться к SMB-серверу злоумышленника, раскрывая хеш NetNTLMv2 жертвы.
С этими учетными данными злоумышленник может взломать пароль или выполнить атаку Pass‑the‑Hash, чтобы выдать себя за пользователя, перемещаться по сети или добиться удаленного выполнения кода.
Оценка CVSS: 9.8 (Critical) CWE: CWE-20 (Improper Input Validation) Запатченная версия: Обновление безопасности Microsoft (KB5002519 для Office 2016), выпущенное 13 февраля 2024 года
⚙️ Как работает эксплойт Злоумышленник настраивает SMB-прослушиватель на своей машине (например, Responder).
Злоумышленник отправляет жертве письмо, содержащее гиперссылку вида: file:///test!exploit
Жертва открывает письмо и переходит по ссылке (или ссылка отображается в области чтения).
Outlook устанавливает SMB-подключение к , автоматически отправляя имя пользователя Windows и хеш NTLM жертвы.
Злоумышленник перехватывает хеш с помощью Responder.
Злоумышленник взламывает хеш офлайн или ретранслирует его для аутентификации под видом жертвы на других системах.
