Vulnerabilitate critică Zero-Click Windows OLE permite executarea de cod arbitrar

O vulnerabilitate de securitate critică, identificată drept CVE-2025-21298, a fost dezvăluită în tehnologia OLE (Object Linking and Embedding) Windows a Microsoft.

Această vulnerabilitate zero-click, care are un scor CVSS de 9.8/10, permite atacatorilor să execute cod arbitrar la distanță prin exploatarea Microsoft Outlook și a altor aplicații.

Vulnerabilitatea a ridicat semne de alarmă în comunitatea de securitate cibernetică din cauza severității sale și a ușurinței cu care poate fi exploatată. CVE-2025-21298 este o vulnerabilitate de execuție de cod la distanță (RCE) care provine dintr-o eroare de corupere a memoriei în biblioteca ole32.dll.

Mai exact, vulnerabilitatea constă în funcția UtOlePresStmToContentsStm, care procesează obiecte OLE încorporate în fișiere RTF (Rich Text Format).

Atacatorii pot exploata această vulnerabilitate prin trimiterea unui e-mail malițios care conține un atașament RTF. Simpla deschidere sau previzualizare a e-mailului în Microsoft Outlook declanșează vulnerabilitatea, permițând atacatorilor să execute cod arbitrar fără a necesita interacțiunea utilizatorului.

Vulnerabilitatea este clasificată ca o eroare Use After Free (CWE-416), în care memoria care a fost deja eliberată este accesată necorespunzător. Acest lucru se întâmplă în timpul conversiei datelor dintr-un flux OlePres într-un flux CONTENTS în cadrul stocării OLE.

Dacă un atacator prelucrează fișierul RTF pentru a exploata această vulnerabilitate, acesta poate corupe structurile de gestionare a memoriei heap, ducând la executarea de cod arbitrar.

Această vulnerabilitate zero-click este deosebit de periculoasă deoarece nu necesită interacțiunea utilizatorului în afara previzualizării e-mailului.

Aceasta afectează mai multe versiuni Windows, inclusiv Windows 10, Windows 11 și diverse ediții Windows Server. Organizațiile care utilizează Microsoft Outlook sunt expuse unui risc deosebit din cauza utilizării sale pe scară largă pentru comunicarea prin e-mail.

Microsoft a abordat această vulnerabilitate în actualizările Patch Tuesday din ianuarie 2025. Utilizatorii și organizațiile sunt îndemnați să aplice imediat aceste patch-uri.

Pentru cei care nu pot actualiza prompt, Microsoft recomandă configurarea Outlook pentru a citi toate e-mailurile în format text simplu.

Acest lucru reduce riscul executării automate a elementelor OLE malițioase, dar poate afecta lizibilitatea e-mailurilor prin eliminarea conținutului complex, cum ar fi imaginile și animațiile.

Aplicarea imediată de patch-uri și monitorizarea proactivă sunt esențiale pentru reducerea riscurilor asociate cu această vulnerabilitate.

Sursă: https://cybersecuritynews.com/critical-windows-ole-zero-click-vulnerability/