Een kritieke kwetsbaarheid in Windows maakt het mogelijk om systemen door middel van alleen het versturen van een malafide e-mail over te nemen. Het slachtoffer hoeft de e-mail niet te openen. Wanneer de Microsoft Outlook-client het bericht verwerkt is al remote code execution mogelijk. Securitybedrijf ZDI vreest dat ransomwaregroepen zullen proberen om misbruik van de kwetsbaarheid te maken.

Het beveiligingslek, aangeduid als CVE-2023-35628, bevindt zich in het Windows MSHTML-platform. MSHTML is de door Microsoft ontwikkelde browser-engine van Internet Explorer en wordt ook door Office-applicaties gebruikt voor het weergeven van webcontent in documenten. "Een aanvaller kan deze kwetsbaarheid misbruiken door een speciaal geprepareerde e-mail te versturen", aldus Microsoft.

Daarbij is er geen enkele interactie van de gebruiker vereist, aangezien de aanval automatisch kan plaatsvinden wanneer de e-mail door de Outlook-client wordt opgehaald en verwerkt. "Dit kan tot misbruik leiden voordat de e-mail in het voorbeeldvenster wordt bekeken", laat Microsoft verder weten. Daarnaast is de kwetsbaarheid ook te misbruiken door doelwitten op een malafide link te laten klikken.

"Zonder twijfel zullen ransomwaregroepen een betrouwbare exploit voor deze kwetsbaarheid proberen te ontwikkelen", zegt Dustin Childs van securitybedrijf ZDI. Misbruik vereist echter enkele 'memory-shaping' technieken, wat de ontwikkeling van een betrouwbare exploit bemoeilijkt, legt Microsoft uit. De impact van de kwetsbaarheid is daardoor op een schaal van 1 tot en met 10 beoordeeld met een 8.1.