securenetexpert/cve-2024-21413-moniker-link-writeupТехническое описание CVE-2024-21413 (уязвимость Moniker Link)
Этот репозиторий содержит технический разбор CVE-2024-21413 — уязвимости, связанной с обработкой Moniker Link в Microsoft Outlook, которая позволяет злоумышленникам обходить защищённый просмотр (Protected View) и перехватывать учётные данные NTLMv2 при взаимодействии пользователя.
Лабораторная работа выполнена на платформе TryHackMe, а данный разбор посвящён объяснению сценария атаки, её влиянию и извлечённым урокам по безопасности.
Данная уязвимость использует способ обработки Moniker Link в Outlook, позволяя обращаться к удалённому ресурсу, контролируемому атакующим, без надлежащих проверок безопасности.
Атака начинается с доставки вредоносного письма, содержащего сконструированную ссылку Moniker Link. При открытии в Outlook письмо выглядит легитимным и не вызывает предупреждений защищённого просмотра.
Когда жертва переходит по ссылке, Outlook пытается получить доступ к удалённому ресурсу, контролируемому атакующим. В ходе этого процесса компьютер жертвы автоматически отправляет данные аутентификации NTLMv2 по протоколу SMB.
Эксплойт доставки письма, использованный в лабораторной работе, основан на следующем публичном доказательстве концепции:
(Сам код эксплойта не был изменён и поэтому полностью не воспроизводится здесь.)
Хотя процесс эксплуатации прост, его последствия значительны.
Атакующий может:
Эта уязвимость демонстрирует, как одно действие пользователя может привести к раскрытию учётных данных и дальнейшим атакам.
