Pembaruan 14 Februari, 16:50 EST: Artikel dan judul direvisi setelah Microsoft menarik pembaruan “eksploitasi aktif” yang ditambahkan ke buletin CVE-2024-21413.
Microsoft mengatakan bahwa penyerang jarak jauh yang tidak diautentikasi dapat dengan mudah mengeksploitasi kelemahan keamanan Outlook yang penting yang juga memungkinkan mereka melewati tampilan Office yang dilindungi.
Ditemukan oleh peneliti kerentanan Check Point Haifei Li dan dilacak sebagai CVE-2024-21413, kelemahan ini menyebabkan eksekusi kode jarak jauh (RCE) saat membuka email dengan tautan berbahaya menggunakan versi Microsoft Outlook yang rentan.
Hal ini terjadi karena kelemahan tersebut juga memungkinkan penyerang melewati Tampilan Terlindungi (dirancang untuk memblokir konten berbahaya yang dimasukkan ke dalam file Office dengan membukanya dalam mode baca-saja) dan membuka file Office berbahaya dalam mode edit.
Redmond juga memperingatkan bahwa panel pratinjau adalah vektor serangan untuk kelemahan keamanan ini dan memungkinkan eksploitasi berhasil bahkan saat melihat pratinjau dokumen Office yang berbahaya.
CVE-2024-21413 dapat dieksploitasi dari jarak jauh oleh penyerang yang tidak diautentikasi dalam serangan tingkat rendah yang tidak memerlukan interaksi pengguna.
“Penyerang yang berhasil mengeksploitasi kerentanan ini dapat memperoleh hak istimewa yang lebih tinggi yang mencakup fungsi baca, tulis, dan hapus,” jelas Microsoft.
“Penyerang dapat membuat tautan berbahaya yang melewati protokol Tampilan Terlindungi, yang menyebabkan kebocoran kredensial NTLM lokal dan informasi eksekusi kode jarak jauh (RCE).”
CVE-2024-21413 memengaruhi beberapa produk Office, termasuk Microsoft Office LTSC 2021 dan Aplikasi Microsoft 365 untuk Perusahaan, serta Microsoft Outlook 2016 dan Microsoft Office 2019 (dengan dukungan tambahan).
Tanda seru untuk melewati perlindungan Outlook
Seperti yang dijelaskan Check Point dalam laporan yang diterbitkan hari ini, mereka menyebut kerentanan tersebut Tautan moniker memungkinkan penyerang untuk melewati perlindungan bawaan Outlook terhadap tautan berbahaya yang tertanam dalam email dengan menggunakan protokol file:// dan menambahkan tanda seru ke URL yang menunjuk ke server yang dikendalikan penyerang.
Tanda seru ditambahkan tepat setelah ekstensi dokumen bersama dengan beberapa teks acak (dalam contohnya Check Point menggunakan “sesuatu”) seperti yang ditunjukkan di bawah ini:
Jenis hyperlink ini melewati batasan keamanan Outlook dan Outlook akan mengakses sumber daya jarak jauh “\\10.10.111.111\test\test.rtf” saat Anda mengeklik tautan tanpa peringatan atau kesalahan apa pun.
Cacat ini terjadi karena API MkParseDisplayName yang tidak aman, sehingga kerentanan dapat memengaruhi perangkat lunak lain yang menggunakannya.
Dampak serangan yang berhasil mengeksploitasi CVE-2024-21413 antara lain mencuri informasi kredensial NTLM, mengeksekusi kode arbitrer melalui dokumen Office berbahaya,
“Kami telah mengonfirmasi bug/serangan #MonikerLink ini di lingkungan Windows 10/11 + Microsoft 365 (Office 2021) terbaru,” kata Check Point.
“Hal ini kemungkinan akan berdampak pada edisi/versi Office lainnya juga. Faktanya, kami yakin ini adalah masalah yang terabaikan yang telah ada di ekosistem Windows/COM selama beberapa dekade karena merupakan inti dari COM API. Kami sangat menganjurkan semua pengguna Outlook untuk menerapkan perbaikan resmi sesegera mungkin.”
Microsoft hari ini memperbarui penasihat keamanan CVE-2024-21413 untuk memperingatkan bahwa bug Outlook ini juga dieksploitasi dalam serangan zero-day sebelum Patch Tuesday bulan ini.
Namun, perusahaan tersebut membatalkan perubahan tersebut, dengan mengatakan bahwa mereka “secara keliru memperbarui tanda eksploitasi dan peringkat eksploitasi untuk menunjukkan adanya eksploitasi”.
+ There are no comments
Add yours