Microsoft Outlook Spoofing Vulnerability

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• microsoft 365 appsвсе версии
• microsoft office2016
• microsoft office2019
• microsoft office long term servicing channel2021
• microsoft outlook2016

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (microsoft). Не зависят от анализа CPE в NVD и обычно опережают его.

• Microsoft Microsoft 365 Apps for Enterprise

  • 16.0.1 и новее · до https://aka.ms/OfficeSecurityReleasesзатронута

• Microsoft Microsoft Office 2016

  • 16.0.0 и новее · до 16.0.5456.1000затронута

• Microsoft Microsoft Office 2019

  • 19.0.0 и новее · до https://aka.ms/OfficeSecurityReleasesзатронута

• Microsoft Microsoft Office LTSC 2021

  • 16.0.1 и новее · до https://aka.ms/OfficeSecurityReleasesзатронута

• Microsoft Microsoft Outlook 2016

  • 16.0.0.0 и новее · до 16.0.5456.1000затронута

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2023-23397Microsoft Outlook Elevation of Privilege VulnerabilityKEV
  98Срочно
• CVE-2024-21413Microsoft Outlook Remote Code Execution VulnerabilityKEV
  97Срочно
• CVE-2026-21509Microsoft Office Security Feature Bypass VulnerabilityKEV
  82Срочно
• CVE-2021-42292Microsoft Excel Security Feature Bypass VulnerabilityKEV
  74На этой неделе
• CVE-2023-35311Microsoft Outlook Security Feature Bypass VulnerabilityKEV
  70На этой неделе
• CVE-2024-38189Microsoft Project Remote Code Execution VulnerabilityKEV
  67На этой неделе

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Расширение запрашивает более широкие разрешения, чем требуется для его функции, и отправляет собранные данные вовне для целей, не связанных с его назначением.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1{2  "permissions": ["tabs", "<all_urls>"],3  "background": { "service_worker": "analytics.js" }4}

1{2  "permissions": ["activeTab"],3  "host_permissions": ["https://yildiz.example/*"]4}

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.