CVE-2023-23397
Microsoft Office Outlook Privilege Escalation Vulnerability
Beschreibung
CVE-2023-23397 ist eine kritische Elevation-of-Privilege-Schwachstelle in Microsoft Outlook, die es einem Angreifer ermöglicht, ohne Benutzerinteraktion NTLM-Anmeldedaten zu stehlen. Die Schwachstelle wurde mit dem höchsten CVSS-Score von 9,8 (CRITICAL) bewertet. Betroffen sind Microsoft Outlook, Microsoft 365 Apps, Microsoft Office und Microsoft Office Long Term Servicing Channel. Die Ausnutzung erfolgt über das Netzwerk ohne Authentifizierung und ohne jegliche Benutzerinteraktion, was diese Schwachstelle besonders gefährlich macht. Die CISA hat CVE-2023-23397 in den KEV-Katalog aufgenommen mit einer Behebungsfrist bis zum 4. April 2023. Der EPSS-Score von 93,66 % (Perzentile: 99,84 %) bestätigt die extrem hohe Ausnutzungswahrscheinlichkeit.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | 365 apps | - |
| microsoft | office | 2019 |
| microsoft | office long term servicing channel | 2021 |
| microsoft | outlook | 2013; 2016 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-23397(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-23397(US Government Resource)
Schwachstellentyp
CWE-20: Improper Input Validation
CVE-2023-23397 ist unter anderem der Schwachstellenklasse CWE-20: Improper Input Validation zugeordnet. Bei dieser Klasse validiert ein System Eingabedaten nicht korrekt, bevor sie verarbeitet werden, was Angreifern ermöglicht, unerwartete oder bösartige Daten einzuschleusen. Im Fall von CVE-2023-23397 akzeptiert Outlook manipulierte E-Mail-Nachrichten mit speziell gesetzten Eigenschaften, ohne diese ausreichend zu prüfen.
CWE-294: Authentication Bypass by Capture-replay
Die Schwachstelle ist zusätzlich der Klasse CWE-294: Authentication Bypass by Capture-replay zugeordnet. Diese Schwachstellenklasse beschreibt Angriffe, bei denen Authentifizierungsinformationen abgefangen und wiederverwendet werden. Bei CVE-2023-23397 erzwingt ein manipuliertes Extended MAPI-Property eine Verbindung zu einem vom Angreifer kontrollierten SMB-Server, wobei die NTLM-Anmeldedaten des Opfers übermittelt werden. Diese können anschließend für NTLM-Relay-Angriffe oder Offline-Cracking verwendet werden.
Auswirkungsanalyse
Vertraulichkeit (Hoch): CVE-2023-23397 ermöglicht den Diebstahl von NTLM-Authentifizierungshashes ohne jegliche Benutzerinteraktion. Sobald ein Angreifer den NTLM-Hash eines Benutzers besitzt, kann er sich in NTLM-Relay-Angriffen als dieser Benutzer ausgeben und auf alle Ressourcen zugreifen, die dem kompromittierten Konto zugänglich sind. Dies umfasst E-Mails, Dateifreigaben, interne Anwendungen und potenziell gesamte Active-Directory-Umgebungen.
Integrität (Hoch): Durch die gestohlenen Anmeldedaten kann ein Angreifer im Namen des Opfers Daten verändern, E-Mails senden, Dokumente manipulieren und sich lateral im Netzwerk bewegen. Manipulierte Nachrichten können auch weitere Opfer innerhalb der Organisation kompromittieren.
Verfügbarkeit (Hoch): Die vollständige Kompromittierung von Benutzerkonten kann zu Dienstunterbrechungen, Kontosperrungen und im schlimmsten Fall zur Übernahme kritischer Infrastrukturkomponenten führen.
Die besondere Schwere dieser Schwachstelle ergibt sich aus dem Zero-Click-Charakter: Die Ausnutzung erfolgt bereits beim Empfang und der Verarbeitung der manipulierten E-Mail durch den Outlook-Client, ohne dass der Benutzer die Nachricht öffnen, eine Vorschau anzeigen oder auf einen Link klicken muss. Dies macht Phishing-Awareness-Training als Schutzmaßnahme wirkungslos.
Exploit-Reifegrad
CVE-2023-23397 weist eine extrem hohe Ausnutzungsreife auf. Der EPSS-Score von 93,66 % (Perzentile: 99,84 %) ordnet die Schwachstelle unter die am häufigsten ausgenutzten weltweit ein. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen mit einer Behebungsfrist bis zum 4. April 2023. Microsoft hat bestätigt, dass die Schwachstelle aktiv ausgenutzt wird.
Die Ausnutzung erfordert lediglich das Senden einer speziell gestalteten E-Mail an das Opfer. Weder muss der Benutzer die E-Mail öffnen noch eine Aktion ausführen; die Schwachstelle wird bereits beim Empfang und der Verarbeitung durch Outlook ausgelöst. Dieser Zero-Click-Charakter macht die Schwachstelle besonders attraktiv für fortgeschrittene Angreifer und APT-Gruppen. Die Kombination aus keiner erforderlichen Authentifizierung, keiner Benutzerinteraktion und netzwerkbasiertem Angriffsvektor ermöglicht großflächige, automatisierte Angriffe.
Behebung
- Microsoft-Sicherheitsupdate installieren: Sofortige Installation des von Microsoft bereitgestellten Patches gemäß dem Security Update Guide für CVE-2023-23397.
- NTLM-Authentifizierung einschränken: Ausgehenden SMB-Verkehr (Port 445) an externe Netzwerke blockieren, um die Übermittlung von NTLM-Hashes an angreiferkontrollierte Server zu verhindern.
- Microsoft-Diagnose-Skript ausführen: Das von Microsoft bereitgestellte Skript zur Erkennung betroffener E-Mails im Exchange-Umfeld ausführen, um bereits empfangene manipulierte Nachrichten zu identifizieren.
- Betroffene Konten prüfen und Passwörter zurücksetzen: Für alle Konten, bei denen eine Kompromittierung vermutet wird, Passwörter ändern und Sitzungen beenden.
- NTLM-Nutzung reduzieren: Langfristig NTLM-Authentifizierung zugunsten von Kerberos oder moderner Authentifizierung reduzieren oder ganz deaktivieren.
- Benutzer zur Protected-Users-Gruppe hinzufügen: Privilegierte Konten in die Protected-Users-Gruppe im Active Directory aufnehmen, um NTLM-Authentifizierung für diese Konten zu unterbinden.
- Monitoring und Incident Response: Netzwerkverkehr auf verdächtige ausgehende SMB-Verbindungen überwachen und bei Verdacht auf Kompromittierung umgehend Incident-Response-Prozesse einleiten.
Technische Details
Technischer Hintergrund: CVE-2023-23397 ist eine Elevation-of-Privilege-Schwachstelle in Microsoft Outlook, die zwei grundlegende Schwachstellentypen kombiniert: unzureichende Eingabevalidierung (CWE-20) und Authentication Bypass durch Capture-Replay (CWE-294). Die Schwachstelle betrifft Microsoft Outlook, Microsoft 365 Apps, Microsoft Office und Microsoft Office Long Term Servicing Channel.
Ausnutzungsmechanismus: Ein Angreifer sendet eine speziell gestaltete E-Mail mit einem manipulierten Extended MAPI-Property (z. B. PidLidReminderFileParameter), das einen UNC-Pfad zu einem angreiferkontrollierten SMB-Server enthält. Beim Verarbeiten dieser E-Mail durch Outlook wird automatisch eine SMB-Verbindung zum angegebenen Pfad hergestellt, wobei die NTLM-Anmeldedaten des Benutzers übermittelt werden. Dieser Vorgang erfordert keine Interaktion des Benutzers; die E-Mail muss nicht geöffnet oder angezeigt werden.
NTLM-Relay und Nachfolgeangriffe: Die erbeuteten NTLM-Hashes können für NTLM-Relay-Angriffe verwendet werden, bei denen sich der Angreifer als das Opfer authentifiziert und dessen Berechtigungen übernimmt. Alternativ können die Hashes offline geknackt werden, um das Klartext-Passwort zu erlangen. In Active-Directory-Umgebungen kann dies zur lateralen Bewegung und zur Kompromittierung weiterer Systeme führen.
Angriffsoberfläche: Die Schwachstelle betrifft alle Outlook-Versionen, die Extended MAPI-Properties verarbeiten. Da keine Benutzerinteraktion erforderlich ist, können alle Benutzer innerhalb einer Organisation potenziell kompromittiert werden, sobald der Angreifer eine E-Mail an sie senden kann.
Häufig gestellte Fragen
Wird CVE-2023-23397 aktiv ausgenutzt?
Ja, CVE-2023-23397 wird aktiv ausgenutzt. Die Schwachstelle ist im CISA KEV-Katalog gelistet mit einer Behebungsfrist bis zum 4. April 2023. Microsoft hat die aktive Ausnutzung bestätigt, und der EPSS-Score von 93,66 % (Perzentile: 99,84 %) unterstreicht die extrem hohe Ausnutzungswahrscheinlichkeit.
Welche Produkte sind von CVE-2023-23397 betroffen?
Betroffen sind Microsoft Outlook, Microsoft 365 Apps, Microsoft Office und Microsoft Office Long Term Servicing Channel. Die Schwachstelle betrifft alle Outlook-Versionen, die Extended MAPI-Properties verarbeiten. Web-basierte Outlook-Versionen (Outlook Web App / OWA) sind nicht betroffen, da sie keine NTLM-Authentifizierung verwenden.
Wie behebe ich CVE-2023-23397?
Die Behebung erfordert die sofortige Installation des Microsoft-Sicherheitsupdates. Zusätzlich sollte ausgehender SMB-Verkehr (Port 445) zu externen Netzwerken blockiert werden, um die NTLM-Hash-Übermittlung zu verhindern. Microsoft stellt ein Diagnoseskript bereit, um bereits empfangene manipulierte E-Mails zu identifizieren. Weitere Details finden Sie im Abschnitt Behebungsmaßnahmen.
Wie schwerwiegend ist CVE-2023-23397?
CVE-2023-23397 wird mit dem maximalen CVSS-Score von 9,8 (CRITICAL) bewertet. Die Schwachstelle ist ein Zero-Click-Angriff, der keine Benutzerinteraktion erfordert und den Diebstahl von NTLM-Anmeldedaten ermöglicht. Dies kann zur vollständigen Kompromittierung von Benutzerkonten und Active-Directory-Umgebungen führen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.