{"id":278749,"date":"2023-03-16T10:49:49","date_gmt":"2023-03-16T09:49:49","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=278749"},"modified":"2023-03-16T15:16:06","modified_gmt":"2023-03-16T14:16:06","slug":"outlook-wegen-kritischer-schwachstelle-cve-2023-23397-patchen","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2023\/03\/16\/outlook-wegen-kritischer-schwachstelle-cve-2023-23397-patchen\/","title":{"rendered":"Outlook wegen kritischer Schwachstelle CVE-2023-23397 patchen"},"content":{"rendered":"

[English<\/a>]In Microsoft Outlook gibt es eine kritische Schwachstelle CVE-2023-23397, die eine Rechteauswertung durch Dritte erm\u00f6glicht. Diese Schwachstelle wird seit Mitte April 2022 durch russische Angreifer aktiv ausgenutzt. Benutzer und Administratoren sollten unverz\u00fcglich die Sicherheitsupdates f\u00fcr Outlook, die Microsoft bereitstellt, installieren. Im Rahmen einer Patchday-Nachlese fasse ich in diesem Beitrag einige Informationen zusammen.<\/p>\n

<\/p>\n

Outlook-Schwachstelle CVE-2023-23397<\/h2>\n

\"\"Ich hatte bereits im Beitrag Microsoft Security Update Summary (14. M\u00e4rz 2023)<\/a> auf die als kritisch eingestufte Schwachstelle CVE-2023-23397<\/a>\u00a0<\/u>in Microsoft Outlook hingewiesen. Es handelt sich um eine Elevation of Privilege-Schwachstelle (EvP), die den CVEv3-Score von 9.8 erhalten hat, also extrem kritisch eingestuft wird.<\/p>\n

Angreifer k\u00f6nnen eine b\u00f6sartige E-Mail an eine anf\u00e4llige Version von Outlook senden. Wenn die E-Mail vom Server geladen und im Client verarbeitet wird, kann eine Verbindung zu einem vom Angreifer kontrollierten Ger\u00e4t hergestellt werden, um den Net-NTLMv2-Hash des E-Mail-Empf\u00e4ngers auszusp\u00e4hen. Der Angreifer kann diesen Hash verwenden, um sich in einem NTLM-Relay-Angriff als Empf\u00e4nger des Opfers zu authentifizieren, hei\u00dft es bei Microsoft.<\/p>\n

Microsoft weist in seinen Dokumenten darauf hin, dass diese Schwachstelle ausgenutzt werden kann, bevor die E-Mail im Vorschaufenster angezeigt wird. Ein erfolgreicher Angriff erfordert also keine Interaktion des Empf\u00e4ngers.<\/p>\n

Ich hatte bereits zum 9. M\u00e4rz 2023 im Beitrag Kritische RTF-Schwachstelle CVE-2023-21716: Proof of Concept f\u00fcr Word; Outlook auch betroffen<\/a> auf eine \u00e4hnliche RCE-Schwachstelle CVE-2023-21716 in Word hingewiesen, die auch Outlook betrifft. Hintergrund ist in diesem Fall die Unterst\u00fctzung von RTF-Dateien in den genannten Anwendungen. Die aktuelle Schwachstelle ist zwar anders gelagert, zeigt aber, wie Anf\u00e4llig Mail-Anwendungen wie Microsoft Outlook unter Windows sind.<\/p><\/blockquote>\n

Updates und Exchange Pr\u00fcfscript vorhanden<\/h2>\n

Microsoft hat zum 14. M\u00e4rz 2023 Sicherheitsupdates f\u00fcr Outlook 2016 (KB5002254)<\/a> und f\u00fcr Outlook 2013 (KB5002265)<\/a> dazu ver\u00f6ffentlicht (siehe Patchday: Microsoft Office Updates (14. M\u00e4rz 2023)<\/a>). \u00c4ltere, nicht mehr im Support befindliche Outlook-Versionen (z.B. Outlook 2010) sind damit nicht mehr patchbar und lassen sich angreifen.<\/p>\n

Eine Liste aller Outlook-Updates vom 14. M\u00e4rz 2023 findet sich unter\u00a0CVE-2023-23397<\/a>. Dort sind auch die Updates der Click-2-Run-Versionen f\u00fcr Outlook 2016, Outlook 2019 und Outlook 2021 sowie Microsoft 365 (Office 365) zu finden. Diese werden aber \u00fcber Office\/Outlook und nicht per Windows Update verteilt.<\/p>\n

Das Exchange-Pr\u00fcfscript von Microsoft<\/h3>\n

Microsoft hatte Exchange-Administratoren zum M\u00e4rz 2023 Patchday auf die Schwachstelle hingewiesen und ein Pr\u00fcfscript ver\u00f6ffentlicht (siehe den Blog-Beitrag Exchange Server Sicherheitsupdates (14. M\u00e4rz 2023)<\/a>). Das Pr\u00fcftscript CVE-2023-23397.ps1<\/a> \u00fcberpr\u00fcft alle Exchange Messaging-Elemente (E-Mail, Kalender und Aufgaben), ob eine Eigenschaft mit einem UNC-Pfad gef\u00fcllt ist.<\/p>\n

Falls erforderlich, k\u00f6nnen Administratoren dieses Skript verwenden, um die Eigenschaft f\u00fcr Elemente zu bereinigen, die b\u00f6sartig sind, oder die Elemente sogar dauerhaft zu l\u00f6schen. Es gibt zwei Modi f\u00fcr das Skript:<\/p>\n