CISA ostrzega przed krytyczną luką w Microsoft Outlook

Amerykańska Agencja ds. Cyberbezpieczeństwa i Bezpieczeństwa Infrastruktury (CISA) ostrzega przed luką bezpieczeństwa w programie Microsoft Outlook, która może być wykorzystywana przez cyberprzestępców. Agencje federalne mają czas do 27 lutego 2025 r., aby załatać podatność lub całkowicie przestać korzystać z narzędzia.

Podatność oznaczona jako CVE-2024-21413 to błąd nieprawidłowej walidacji danych wejściowych w Microsoft Outlook. Odkrył ją w 2024 roku Haifei Li, badacz z firmy Check Point. Luka otrzymała ocenę krytyczności na poziomie 9.8/10, co oznacza, że stanowi poważne zagrożenie.

Krytyczna luka CVE-2024-21413

Hakerzy mogą tworzyć specjalnie spreparowane wiadomości e-mail, zawierające odpowiednie hiperłącza, które umożliwią zdalne wykonanie dowolnego kodu. Wykorzystując tę podatność, cyberprzestępcy są w stanie ominąć funkcję "Protected View" w Outlooku, która normalnie otwiera podejrzane pliki w trybie tylko do odczytu. Zamiast tego zainfekowane pliki otwierane są bezpośrednio w trybie edycji, co znacznie ułatwia atak.

Microsoft załatał tę lukę pod koniec ubiegłego roku, ostrzegając jednocześnie, iż podgląd wiadomości w Outlooku może stanowić wektor ataku. Oznacza to, że ofiara nie musi nawet otwierać wiadomości – wystarczy, że zobaczy jej podgląd, żeby doszło do infekcji.

Zagrożenie na szeroką skalę

Podatność ta dotyczy różnych wersji pakietu Office, w tym:

• Microsoft Office LTSC 2021,
• Microsoft 365 Apps for Enterprise,
• Microsoft Outlook 2016,
• Microsoft Office 2019.

Choć początkowo nie było dowodów na aktywne wykorzystywanie tej luki, jej dodanie do katalogu Known Exploited Vulnerabilities (KEV) oznacza, że cyberprzestępcy już zaczęli ją wykorzystywać. „Tego typu luki są częstym wektorem ataków i stanowią poważne zagrożenie dla systemów rządowych” – ostrzega CISA.