Microsoft confirmă exploatarea unei vulnerabilități de tip 0-day din Outlook

Microsoft a confirmat că atacatorii exploatează o vulnerabilitate de tip zero-day din Outlook, care poate expune informațiile de autentificare Windows atunci când un utilizator deschide un fișier rău intenționat.

Identificată ca CVE-2026-124194, vulnerabilitatea de tip spoofing a fost remediată pe 10 noiembrie 2026. Microsoft o etichetează ca exploatare detectată și precizează că nu a fost dezvăluită public înainte de lansarea actualizării.

Vulnerabilitatea prezintă un scor CvSS de 6.5/10 și un grad de severitate moderat. Cu toate acestea, atacurile confirmate o transformă într-o prioritate pentru remediere.

Un atacator nu are nevoie de un cont sau de acces prealabil la sistemul țintă. În schimb, acesta trimite un fișier malițios într-un mesaj și trebuie să convingă utilizatorul destinatar să-l acceseze într-o versiune vulnerabilă a aplicației Outlook. Exploatarea cu succes a vulnerabilității necesită atât interacțiunea utilizatorului, cât și conectivitate la rețea.

Deschiderea fișierului poate determina Outlook să se conecteze la o locație de rețea controlată de atacator fără a afișa avertismentul obișnuit privind conținutul extern. Microsoft clasifică vulnerabilitatea ca CWE-356, în care interfața unui dispozitiv nu reușește să avertizeze utilizatorii cu privire la acțiuni nesigure. Lipsa avertismentului elimină o șansă importantă de a opri conexiunea.

Microsoft precizează în mod explicit că panoul de previzualizare nu reprezintă un vector de atac. Simpla previzualizare a unui mesaj nu îndeplinește cerințele de exploatare documentate.

Conform avizului Microsoft, o exploatare reușită dezvăluie hash-ul NTLMv2 al utilizatorului, permițând potențial unui atacator să se autentifice ca acel utilizator. Este vorba de sustragerea datelor de autentificare, nu de o dovadă că vulnerabilitatea execută direct cod rău intenționat. Microsoft evaluează impactul asupra confidențialității ca fiind ridicat, fără impact direct asupra integrității sau disponibilității.

Scurgerile legate de NTLM pot facilita atacuri ulterioare, în funcție de măsurile de protecție ale serviciului destinatar. Informațiile anterioare ale Microsoft privind Outlook au documentat redirecționarea autentificării și spargerea parolelor offline ca posibile utilizări ale datelor Net-NTLMv2 capturate.

Printre produsele afectate se numără Microsoft 365 Apps for Enterprise și Office LTSC 2021 și 2024, atât în versiunile pe 32 de biți, cât și în cele pe 64 de biți. Microsoft menționează versiunile remediate 16.0.14334.21048 pentru LTSC 2021 și 16.0.17932.21140 pentru LTSC 2024. Administratorii ar trebui să implementeze fără întârziere actualizările de securitate Office corespunzătoare.

Ca măsură suplimentară de protecție, Microsoft recomandă blocarea traficului SMB de ieșire pe portul TCP 445 către internet. Aceasta limitează expunerea externă a SMB, dar nu înlocuiește instalarea remedierii pentru Outlook.

Sursă: https://cybersecuritynews.com/outlook-0-day-vulnerability/