Microsoft schließt Outlook-Lücke, die zum Diebstahl von NTLM-Daten genutzt wurde

Wie die Lücke ausgelöst wird

Der Angreifer benötigt weder ein Konto noch besondere Rechte. Stattdessen wird eine Nachrichtendatei vorbereitet und verschickt, und der Empfänger wird dazu gebracht, sie in einer betroffenen Outlook-Installation zu öffnen. Dann kann Outlook einen vom Angreifer kontrollierten Netzwerkstandort ansteuern, ohne dass der übliche Hinweis auf externe Inhalte erscheint.

Microsoft beschreibt die offengelegten Daten als NTLMv2-Hash des Nutzers und nicht als Klartextpasswort. Je nach Zielumgebung und deren Schutzmaßnahmen kann solches Material für das Knacken von Passwörtern offline oder für Relay-Angriffe in Echtzeit genutzt werden.

Schweregrad und Einordnung der Schwachstelle

Als zuständige CNA stuft Microsoft den maximalen Schweregrad als Moderate ein, obwohl Angriffe auf die Lücke bestätigt sind. Das Unternehmen nennt einen CVSS-3.1-Basiswert von 6,5 und einen temporalen Wert von 6,2.

Die Warnmeldung ordnet die Lücke CWE-356 zu. MITRE beschreibt die Schwäche inzwischen als fehlende Nutzerinteraktion bei einer potenziell unsicheren Aktion. Da der Angriff davon abhängt, dass der Nutzer die Datei öffnet, warnt der Bericht davor, ihn als Zero-Click-Angriff zu bezeichnen.

Teil eines größeren Musters

Der Vorfall reiht sich in ein Muster von Zugangsdatendiebstahl über Outlook ein, bei dem ungewollte Verbindungen zu externen Servern entstehen. Laut Bericht haben frühere Angriffskampagnen über Outlook bereits gezeigt, wie abgefangene Authentifizierungsantworten unbefugten Zugriff ermöglichen können.

Offene Fragen

• Welche Outlook-Versionen und Installationen sind betroffen, und wie viele Nutzer wurden angegriffen?
• Hat Microsoft mitgeteilt, wer hinter den beobachteten Angriffen steckt?