Een kritieke kwetsbaarheid in Microsoft Outlook waarvoor dinsdagavond een patch verscheen is al voor het uitkomen van de update actief gebruikt voor het aanvallen van gebruikers. Dit heeft Microsoft alsnog gemeld in een update van het beveiligingsbulletin, dat hetzelfde ook al deed bij een kritieke kwetsbaarheid in Exchange Server. Onderzoekers vragen zich af wat er aan de hand is bij Microsoft omdat het twee keer achter elkaar vergeet te melden dat er sprake is van zerodaylekken.

Het beveiligingslek in Outlook (CVE-2024-21413) maakt remote code execution mogelijk, waarbij een aanvaller de Office Protected View-beveiliging kan omzeilen. Daardoor wordt het malafide document in de 'editing mode' geopend in plaats van de beveiligde mode. Om via de kwetsbaarheid te worden aangevallen is het niet nodig dat een slachtoffer het document opent. Ook als het document via de preview pane (voorbeeldvenster) wordt weergegeven is misbruik mogelijk. De impact van de kwetsbaarheid is op een schaal van 1 tot en met 10 beoordeeld met een 9.8.

Microsoft komt elke tweede dinsdag van de maand met beveiligingsupdates. Daarbij meldt het bedrijf of het weet dat er sprake is van zerodaylekken, oftewel kwetsbaarheden waar voor het uitkomen van de updates misbruik van is gemaakt. Afgelopen dinsdag stelde Microsoft dat dit het geval was bij twee kwetsbaarheden in Windows (CVE-2024-21412 en CVE-2024-21351). Het ging om zogeheten security bypasses.

Zerodaylekken krijgen altijd de hoogste prioriteit, omdat er actief misbruik van wordt gemaakt en het daarom nodig is die meteen te patchen. Nu blijkt dat ook kwetsbaarheden in Exchange Server en Outlook als zeroday zijn gebruikt. Onderzoekers vragen zich dan ook af waarom Microsoft de twee zerodays in eerste instantie niet heeft gemeld. Microsoft heeft hierover geen details gegeven.