PT-2024-4062 · Microsoft · Outlook
Arnold Osipov
+2
·
Publicado
2024-06-11
·
Atualizado
2026-01-26
·
CVE-2024-30103
CVSS v2.0
9.0
Alta
| Vetor | AV:N/AC:L/Au:S/C:C/I:C/A:C |
Nome do software vulnerável e versões afetadas:
Versões do Microsoft Outlook anteriores à versão corrigida
Descrição:
Foi descoberta uma vulnerabilidade crítica de execução remota de código sem interação do usuário (zero-click) no Microsoft Outlook. Essa vulnerabilidade permite que invasores executem código arbitrário enviando um e-mail especialmente criado. O problema está relacionado ao uso de uma lista negra incompleta durante o processamento de dados de entrada, o que pode ser explorado através da criação de arquivos DLL especialmente criados. A vulnerabilidade pode ser acionada sem qualquer interação do usuário, simplesmente ao abrir um e-mail malicioso.
Recomendações:
Para versões do Microsoft Outlook anteriores à versão corrigida, atualize para a versão mais recente para resolver o problema.
Como solução temporária, considere desativar o recurso de abertura automática de e-mails para minimizar o risco de exploração.
Restrinja o acesso a módulos vulneráveis para minimizar o risco de exploração.
Evite usar parâmetros vulneráveis em pontos de extremidade de API afetados até que o problema seja resolvido.
No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
RCE
Incomplete List of Disallowed Inputs
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Outlook