CERTFR-2024-ALE-005 : Vulnérabilité dans Microsoft Outlook (15 février 2024)
Publié le 15 février 2024 16:32
Risque(s)
- Exécution de code arbitraire à distance
- Atteinte à la confidentialité des données
Systèmes affectés
- Microsoft Office 2016
- Microsoft Office 2019
- Microsoft Office LTSC 2021
- Microsoft 365 Apps
Résumé
Le 13 février 2024, Microsoft a publié un correctif pour la vulnérabilité CVE-2024-21413 affectant le produit Outlook pour Windows.
Elle permet à un attaquant non authentifié de divulguer le condensat NTLM (new technology LAN manager) local et potentiellement une exécution de code arbitraire à distance.
Son exploitation nécessite une intervention de l'utilisateur.
Une preuve de concept partielle ainsi qu'un descriptif de la vulnérabilité ont été publiés par le chercheur auteur de sa découverte.
Le CERT-FR n'a pas connaissance d'exploitation pour le moment. En fonction de l'évolution de la situation, cette alerte est susceptible d'être mise à jour.
Solution
Le CERT-FR recommande fortement d’appliquer la mise à jour fournie par Microsoft. Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation