Un serio bug in Outlook mette a rischio i sistemi Windows

Mar 21, 2023 Dario Orlandi Apt, In evidenza, Minacce, News, RSS, Vulnerabilità 0

Microsoft ha recentemente corretto una vulnerabilità in Microsoft Outlook, identificata come CVE-2023-23397, che potrebbe consentire a un attaccante di eseguire un’escalation dei privilegi.

È stata valutata con un livello di gravità 9.8 e coinvolge tutte le versioni di Microsoft Outlook per Windows (sono quindi esclusi i client mobile e la versione macOS) connesse a un server Exchange. La vulnerabilità consente agli aggressori di rubare gli hash di autenticazione NTLM inviando note o attività di Outlook.

Questi elementi attivano automaticamente l’exploit quando vengono elaborati dal client, il che potrebbe portare alla compromissione anche senza che l’e-mail venga visualizzata nel riquadro di anteprima. Questo significa che il bersaglio non deve neppure aprire il messaggio per essere compromesso.

Gli attaccanti possono costruire email per far sì che il client della vittima si connetta a un indirizzo UNC esterno, comunicando il l’hash NTLMv2; questa informazione può poi essere utilizzata in altri servizi, consentendo agli attaccanti di autenticarsi al posto della vittima.

Nei giorni immediatamente successivi alla divulgazione del problema sono stati pubblicati diversi exploit proof-of-concept, che certamente saranno serviti come spunto alla criminalità informatica per realizzare attacchi; il bug è infatti particolarmente pericoloso, perché non è richiesta nessuna azione da parte dell’utente.

Fonte: MDSec

Secondo Microsoft, un attaccante legato alla Russia ha sfruttato questa vulnerabilità per colpire diverse organizzazioni europee nei settori governativo, dei trasporti, dell’energia e militare.

Si ritiene che il gruppo dietro gli attacchi sia APT28, che è stato collegato alla Direzione principale dello Stato Maggiore delle Forze Armate della Federazione Russa (GRU).

Secondo le indiscrezioni emerse, fino a 15 organizzazioni potrebbero essere state colpite utilizzando questa vulnerabilità quando era ancora zero-day, con attacchi registrati da aprile fino a dicembre dello scorso anno.

Dopo aver ottenuto l’accesso, gli attaccanti utilizzano spesso i framework open source Impacket e PowerShell Empire per estendere il controllo e raggiungere i sistemi più preziosi presenti in rete.

Come proteggersi

Naturalmente, la strada maestra per risolvere la vulnerabilità rimane l’applicazione immediata degli aggiornamenti forniti da Microsoft; se però questa soluzione non è immediatamente percorribile, una mitigazione arriva da Daniel Hofmann, CEO of Hornetsecurity, che consiglia di bloccare il traffico TCP in uscita verso Internet attraverso la porta 445/SMB.

“Questa azione impedisce la trasmissione di messaggi di autenticazione NTLM a condivisioni file remote, contribuendo a risolvere CVE-2023-23397″, ha spiegato Hofmann.

Daniel Hofmann, CEO of Hornetsecurity

Le aziende devono inoltre aggiungere gli utenti al gruppo “Utenti protetti” in Active Directory per impedire l’uso di NTLM come meccanismo di autenticazione.

Inoltre, Microsoft ha reso disponibile uno script per identificare e modificare (o eliminare) i messaggi Exchange che contengono percorsi UNC nelle proprietà, e consiglia agli amministratori di eseguirlo per verificare che l’organizzazione è stata compromessa tramite questa vulnerabilità.

La vulnerabilità dell’anno?

Molti ricercatori e dirigenti di aziende specializzate nella sicurezza IT hanno commentato i rischi e la portata di questa vulnerabilità, che è già stata battezzata come il bug dell’anno.

Le motivazioni per considerarla almeno come un serio contendente sono molteplici: innanzi tutto, ha un impatto potenziale su aziende e singoli utenti di ogni genere, è laboriosa da risolvere (bisogna applicare gli aggiornamenti a ogni singolo client installato) e non è influenzata neppure dalla cautela degli utenti.

La superficie di attacco è enorme: la base di utenti di Outlook desktop è infatti molto vasta, e la vulnerabilità è molto facile da sfruttare, anche grazie alla disponibilità di diversi proof of concept.

Condividi l'articolo