Een kwetsbaarheid in Microsoft Outlook maakt het mogelijk voor aanvallers om willekeurige code op systemen uit te voeren, zonder dat hierbij interactie van gebruikers is vereist. Microsoft heeft updates uitgebracht om het probleem te verhelpen. "De Microsoft Outlook-kwetsbaarheid is van gebruiker naar gebruiker te verspreiden en vereist geen klik om uit te voeren. Uitvoering vindt plaats wanneer een betreffende e-mail is geopend. Dit is met name gevaarlijk voor accounts die van Microsofts auto-open e-mail feature gebruikmaken", aldus securitybedrijf Morphisec dat het probleem ontdekte.

Het securitybedrijf bestempelt het beveiligingslek als kritiek en stelt dat misbruik eenvoudig is. Microsoft heeft de kwetsbaarheid lager ingeschakeld en het stempel 'high' gegeven. Daarnaast acht het techbedrijf misbruik 'less likely'. De impact van de kwetsbaarheid (CVE-2024-30103) is op een schaal van 1 tot en met 10 beoordeeld met een 8.8. Volgens Microsoft moet een aanvaller over geldige inloggegevens beschikken.

Via de kwetsbaarheid kan een aanvaller de Outlook registry blocklist omzeilen en malafide DLL-bestanden op het systeem aanmaken, zo laat de uitleg van Microsoft weten. Het techbedrijf benadrukt dat de Preview Pane (Voorbeeldvenster) van Outlook een aanvalsvector is. Hierbij worden e-mails weergegeven voordat de gebruiker die zelf opent. Morphisec zal tijdens de Def Con-conferentie in Las Vegas in augustus meer details en proof-of concept exploitcode openbaar maken.