PT-2024-6549 · Microsoft · Outlook

Arnold Osipov + 2 · Publicado 2024-08-13 · Atualizado 2024-09-05 · CVE-2024-38173

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.7

Média

Vetor base

AV:L/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas:

Microsoft Outlook (versões afetadas não especificadas)

Descrição:

O problema está relacionado a um controle externo incorreto de um nome de arquivo ou caminho no Microsoft Outlook para sistemas operacionais Windows. A exploração dessa vulnerabilidade pode permitir que um invasor execute código arbitrário. Ela é descrita como uma vulnerabilidade de execução remota de código (RCE) por injeção de formulário. Pesquisadores do Morphisec Threat Labs identificaram essa vulnerabilidade, que é uma vulnerabilidade de zero-click que aproveita injeções de formulário.

Recomendações:

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

RCE

Enumeração de Fraquezas

CWE-73

Identificadores relacionados

BDU:2024-07693

CVE-2024-38173

Produtos afetados

Outlook

Referências · 17

• https://twitter.com/shah_sheikh/status/1823737400620921134 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-38173 · Nota de Segurança
• https://bdu.fstec.ru/vul/2024-07693 · Nota de Segurança
• https://twitter.com/osipov_ar/status/1825122328499417127 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1823414312452456633 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1823460828810469541 · Publicação no Twitter
• https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2024-38173 · Aviso do Fabricante
• https://twitter.com/moton/status/1823604488697209340 · Publicação no Twitter
• https://twitter.com/secaudiinfotech/status/1825281462439973269 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-38173 · Aviso do Fabricante
• https://twitter.com/fletch_ai/status/1823993166393167919 · Publicação no Twitter
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38173 · Aviso do Fabricante
• https://twitter.com/morphisec/status/1823764857293779284 · Publicação no Twitter
• https://twitter.com/iSecurity/status/1823737397794034134 · Publicação no Twitter
• https://t.me/pentestingnews/50374 · Publicação no Telegram