CVE-2024-21413
Microsoft Outlook Improper Input Validation Vulnerability
Beschreibung
CVE-2024-21413 ist eine Remote Code Execution-Schwachstelle in Microsoft Outlook, die auch als "MonikerLink Bug" bekannt ist. Die Schwachstelle ermoeglicht es einem nicht authentifizierten Angreifer, durch das Senden einer speziell praeparierten E-Mail beliebigen Code auf dem System des Opfers auszufuehren, ohne dass eine Benutzerinteraktion erforderlich ist. Die Schwachstelle wird mit einem CVSS v3.1-Score von 9.8 (CRITICAL) bewertet.
Der EPSS-Score von 93.47 % (99.8. Perzentil) ist ausserordentlich hoch und signalisiert eine nahezu sichere aktive Ausnutzung. Die CISA hat CVE-2024-21413 in den KEV-Katalog aufgenommen. Betroffen sind Microsoft 365 Apps, Office 2016, Office 2019 und Office LTSC 2021. Oeffentlicher Exploit-Code ist verfuegbar.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | 365 apps | - |
| microsoft | office 2016 | - |
| microsoft | office 2019 | - |
| microsoft | office long term servicing channel | 2021 |
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-21413(Patch, Vendor Advisory)
- https://research.checkpoint.com/2024/the-risks-of-the-monikerlink-bug-in-microsoft-outlook-and-the-big-picture/(Technical Description)
- https://www.vicarius.io/vsociety/posts/cve-2024-21413-critical-monikerlink-vulnerability-affecting-microsoft-outlook-detection-script(Exploit)
- https://www.vicarius.io/vsociety/posts/cve-2024-21413-critical-monikerlink-vulnerability-affecting-microsoft-outlook-mitigation-script(Mitigation)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-21413(US Government Resource)
Schwachstellentyp
Remote Code Execution via MonikerLink
CVE-2024-21413 nutzt eine Schwachstelle in der Verarbeitung von Hyperlinks in Microsoft Outlook aus, die als "MonikerLink" bezeichnet wird. Diese Schwachstellenklasse ist verwandt mit CWE-20 (Improper Input Validation) und betrifft die Art, wie Outlook bestimmte Link-Formate verarbeitet. Durch Manipulation des Moniker-Formats in einem Hyperlink kann ein Angreifer Outlooks Sicherheitsmechanismen umgehen, die normalerweise beim Oeffnen externer Links einen Warnhinweis anzeigen, und stattdessen direkt beliebigen Code ausfuehren.
Weitere Informationen: CWE-20 -- Improper Input Validation
Auswirkungsanalyse
Die Auswirkungen von CVE-2024-21413 betreffen Vertraulichkeit, Integritaet und Verfuegbarkeit jeweils mit hohem Schweregrad. Der CVSS-Vektor zeigt einen Netzwerk-Angriffsvektor (AV:N) mit niedriger Komplexitaet (AC:L), ohne erforderliche Authentifizierung (PR:N) und -- besonders kritisch -- ohne Benutzerinteraktion (UI:N). Dies bedeutet, dass bereits die Vorschau einer manipulierten E-Mail in Outlook ausreichen kann, um den Exploit auszuloesen, ohne dass der Empfaenger einen Link anklicken oder einen Anhang oeffnen muss. Da Outlook in nahezu jeder Unternehmensumgebung eingesetzt wird, ist die potenzielle Angriffsoberflaeche enorm. Ein erfolgreicher Angriff ermoeglicht die vollstaendige Uebernahme des Zielsystems, Datendiebstahl, die Installation von Malware oder die Ausweitung auf weitere Systeme im Netzwerk. Der EPSS-Score von 93.47 % (99.8. Perzentil) stellt diese Schwachstelle unter die am aktivsten ausgenutzten weltweit. Der Ransomware-Status ist als unbekannt klassifiziert.
Exploit-Reifegrad
CVE-2024-21413 weist eine sehr hohe Exploit-Reife auf. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 27. Februar 2025, und bestaetigt damit die aktive Ausnutzung in freier Wildbahn. Oeffentlicher Exploit-Code ist verfuegbar unter Vicarius vSociety, und eine detaillierte technische Analyse wurde von Check Point Research veroeffentlicht. Der EPSS-Score von 93.47 % (99.8. Perzentil) ist einer der hoechsten ueberhaupt und signalisiert eine nahezu sichere aktive Ausnutzung. Microsoft hat Patches ueber das MSRC Advisory bereitgestellt. Auch Mitigations-Scripts sind ueber Vicarius verfuegbar.
Behebung
-
Office-Updates installieren: Installieren Sie umgehend die von Microsoft bereitgestellten Sicherheitsupdates fuer alle betroffenen Office-Produkte (Microsoft 365 Apps, Office 2016, Office 2019, Office LTSC 2021). Pruefen Sie die spezifischen Updates im MSRC Advisory.
-
Patch-Priorisierung: Priorisieren Sie das Patching fuer alle Systeme mit Microsoft Outlook, insbesondere fuer Benutzer mit Zugang zu externen E-Mails. Da keine Benutzerinteraktion erforderlich ist, besteht bereits beim Empfang einer manipulierten E-Mail ein Risiko.
-
E-Mail-Sicherheit verstaerken: Implementieren Sie zusaetzliche E-Mail-Sicherheitsmassnahmen wie Link-Detonation, Sandboxing eingehender E-Mails und erweiterte Bedrohungserkennung (Advanced Threat Protection). Blockieren Sie verdaechtige Moniker-Link-Formate auf Gateway-Ebene.
-
Outlook-Einstellungen haerten: Konfigurieren Sie Outlook so, dass E-Mails standardmaessig als Nur-Text angezeigt werden. Deaktivieren Sie die automatische Vorschau in der Leseansicht, um die automatische Verarbeitung von Hyperlinks zu unterbinden.
-
Endpoint Detection aktivieren: Stellen Sie sicher, dass EDR-Loesungen auf allen Endpunkten aktiv sind und verdaechtige Prozessausfuehrungen durch Outlook (OUTLOOK.EXE) ueberwachen. Ungewoehnliche untergeordnete Prozesse von Outlook sollten Alarme ausloesen.
Technische Details
CVE-2024-21413 betrifft Microsoft Outlook in den Versionen Microsoft 365 Apps, Office 2016, Office 2019 und Office LTSC 2021. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H beschreibt den maximal moeglichen Angriff: Netzwerkzugriff (AV:N) ohne Komplexitaet (AC:L), ohne Authentifizierung (PR:N) und ohne Benutzerinteraktion (UI:N). Die Schwachstelle nutzt die Art aus, wie Outlook Hyperlinks mit speziellen Moniker-Formaten verarbeitet. Durch eine bestimmte Manipulation des Link-Formats (MonikerLink) kann ein Angreifer Outlooks Protected View und Sicherheitswarnungen umgehen. Wenn Outlook die manipulierte E-Mail verarbeitet, wird der Moniker-Link aufgeloest, was zur Ausfuehrung beliebigen Codes fuehrt. Der Angriff kann ueber das Vorschaufenster ausgeloest werden, ohne dass der Benutzer den Link aktiv anklickt. Dies umgeht die typische Sicherheitskette aus Protected View, Macro-Blocker und Link-Warnungen, die Microsoft in Office implementiert hat.
Häufig gestellte Fragen
Wird CVE-2024-21413 aktiv ausgenutzt?
Ja, die CISA hat CVE-2024-21413 in den KEV-Katalog aufgenommen und bestaetigt damit die aktive Ausnutzung. Der EPSS-Score von 93.47 % (99.8. Perzentil) ist einer der hoechsten ueberhaupt und weist auf eine nahezu sichere aktive Ausnutzung hin. Oeffentlicher Exploit-Code ist verfuegbar.
Was ist der MonikerLink Bug?
Der MonikerLink Bug bezieht sich auf eine Schwachstelle in der Verarbeitung spezieller Hyperlink-Formate in Microsoft Outlook. Durch Manipulation des Moniker-Formats kann ein Angreifer Outlooks Sicherheitsmechanismen (Protected View, Link-Warnungen) umgehen und beliebigen Code ausfuehren -- ohne dass der Empfaenger einen Link anklicken muss.
Muss ein Benutzer einen Link anklicken, um betroffen zu sein?
Nein, CVE-2024-21413 erfordert keine Benutzerinteraktion (UI:N). Bereits die Vorschau einer manipulierten E-Mail im Outlook-Lesebereich kann ausreichen, um den Exploit auszuloesen. Dies macht die Schwachstelle besonders gefaehrlich.
Welche Microsoft-Produkte sind betroffen?
Betroffen sind Microsoft 365 Apps for Enterprise, Microsoft Office 2016, Microsoft Office 2019 und Microsoft Office LTSC 2021. Alle diese Produkte enthalten Microsoft Outlook, das den verwundbaren Link-Handler implementiert.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.