Een kritieke kwetsbaarheid in Microsoft Outlook waardoor aanvallers de wachtwoordhash van gebruikers kunnen stelen zonder ook maar enige interactie van slachtoffers is zeker sinds april 2022 misbruikt, zo laat Microsoft weten. Het techbedrijf kwam op 14 maart van dit jaar met een beveiligingsupdate voor het zerodaylek. De aanvallen laten volgens het techbedrijf weinig sporen achter. Daarom heeft het vanavond meer informatie gegeven waarmee organisaties kunnen controleren of ze slachtoffer zijn geworden.

Het beveiligingslek, aangeduid als CVE-2023-23397, is aanwezig in alle ondersteunde versies van Microsoft Outlook voor Windows. Andere versies zijn niet kwetsbaar. De kwetsbaarheid is op een schaal van 1 tot en met 10 beoordeeld met een 9.8. Het gaat hier om een "Elevation of Privilege" kwetsbaarheid. Dergelijke beveiligingslekken worden meestal niet als kritiek bestempeld, maar dit is bij CVE-2023-23397 wel het geval.

Door het versturen van een malafide e-mail kan de aanvaller het slachtoffer op zijn server laten inloggen, waarbij diens Net-NTLMv2-hash wordt verstuurd. De aanvaller kan vervolgens deze hash gebruiken om zich bij andere diensten als het slachtoffer te authenticeren. De aanval vereist geen enkele interactie van het slachtoffer. Alleen het hebben gestart van Outlook is voldoende. Daarbij maakt het niet uit of het slachtoffer bijvoorbeeld het laden van remote images heeft uitgeschakeld.

Volgens Microsoft laat misbruik van CVE-2023-23397 weinig forensische sporen achter die bij traditionele "endpoint forensic analysis" zijn te vinden. Om organisaties te helpen hoe ze misbruik van het beveiligingslek in het verleden en heden is het techbedrijf met meer informatie gekomen. Verder wordt organisaties aangeraden om Outlook te updaten en uitgaand verkeer naar tcp-poort 445/SMB te blokkeren. Dit moet voorkomen dat bij misbruik van het Outlook-lek de inlogpoging van het slachtoffer naar de server van de aanvaller wordt verstuurd.