Microsoft warnt vor aktiver Ausnutzung einer Schwachstelle in Outlook
von caschy | 7 Kommentare
Wir berichteten schon über die aktuellen Updates, die Microsoft für die Systeme Windows 10 und Windows 11 verteilt – darunter auch mehrere Patches für Sicherheitslücken, die nach dem Common Vulnerability Scoring System (CVSS) mit Werten von 9.0 und höher als „kritisch“ eingestuft werden.
In den Veröffentlichungen enthalten ist u. a. der Patch für eine „Microsoft Outlook Elevation of Privilege Vulnerability“ (CVE-2023-23397; CVSS-Score 9.1), bei der das Unternehmen darauf hinweist, dass bereits eine aktive Ausnutzung der Schwachstelle stattfindet.
CVE-2023-23397 ist eine kritische EoP-Schwachstelle in Microsoft Outlook, die ausgelöst wird, wenn ein Angreifer eine Nachricht mit einer erweiterten MAPI-Eigenschaft mit einem UNC-Pfad zu einer SMB-Freigabe (TCP 445) auf einem von einem Bedrohungsakteur kontrollierten Server sendet. Es ist keine Benutzerinteraktion erforderlich.
Alle unterstützten Versionen von Microsoft Outlook für Windows sind betroffen. Andere Versionen von Microsoft Outlook wie Android, iOS, Mac sowie Outlook im Web und andere M365-Dienste sind nicht betroffen.
Schaut also am besten einmal, dass ihr die Updates zeitnah einspielt, sofern ihr da auf Outlook setzt.
| # | Vorschau | Produkt | Preis | |
|---|---|---|---|---|
| 1 |
|
Asus ROG Zephyrus M16 Gaming Laptop | 16,0" 2K 165Hz matt IPS Display | Intel... | 1.729,00 EUR | Bei Amazon ansehen |
| 2 |
|
ASUS ROG Strix G15 Advantage Edition Gaming Laptop, 15,6 Zoll 300Hz FHD Display,... | 1.624,81 EUR | Bei Amazon ansehen |
| 3 |
|
ASUS ASUS ROG Zephyrus G15 GA503RM-HQ102W Gaming-Notebook (15,6 Zoll) Wide Quad... | 2.578,86 EUR | Bei Amazon ansehen |
Jabra Speak2 55: Der kleine neue Konferenzlautsprecher im Test
Der eine oder andere unter euch ist sicher ab und zu oder sogar dauerhaft im Homeoffice unterwegs und hat somit keinen Zugriff auf physische Meetingräume mit entsprechender Technik für freies Sprechen. Zu Hause wird oft auf das Headset zurückgegriffen. Ich...
Withings Body Scan: Smarte Waage mit Körpersegment-Analyse ausprobiert
Vor etwas mehr als einem Jahr hat Withings eine neue Waage vorgestellt, die den Beinamen Body Scan trägt. Ich nutze die Waagen des Herstellers seit vielen Jahren und bin bisher immer sehr zufrieden gewesen. Mit dem neuen Modell bricht man...
„Resident Evil 4“: Remake des Horror-Blockbusters im Test
„Resident Evil 4“ ist ursprünglich 2005 exklusiv für den Nintendo GameCube erschienen. Später folgten weitere Portierungen für etwa den PC und auch die PlayStation 2. Ich habe den Titel damals zum Launchtag gekauft und am GameCube durchgezockt. Nach dem meiner...
Gazelle Ultimate C380 HMB: Erster Eindruck des Premium-E-Bikes
In meinen Lebensjahren bin ich schon einige Räder gefahren. Und in den letzten Jahren waren auch vermehrt E-Bikes dabei. Ich konnte in den letzten Wochen das neue E-Bike von Gazelle fahren. Wie mir das Ultimate C380 HMB gefallen hat, könnt...
Nura NuraTrue Pro: True-Wireless-In-Ears angehört
Der Markt der Kopfhörer bietet interessierten Käufern eine schier unendliche Auswahl an Geräten. Neben den im Mainstream dominierenden Herstellern wie Apple, Sony, Bose und Co. finden sich auch allerlei sehr gute Modelle von nicht so bekannten Herstellern dazwischen. Ich hatte...
Wird geladen ...
„CVE-2023-23397 ist eine kritische EoP-Schwachstelle in Microsoft Outlook, die ausgelöst wird, wenn ein Angreifer eine Nachricht mit einer erweiterten MAPI-Eigenschaft mit einem UNC-Pfad zu einer SMB-Freigabe (TCP 445) auf einem von einem Bedrohungsakteur kontrollierten Server sendet. Es ist keine Benutzerinteraktion erforderlich.“
Ist das jetzt gefixt oder nicht? Falls nicht, worauf muss ein Normalo-User jetzt achten? Ich blicke es gerade nicht…
Nicht-technisch:
Ich kann dir eine Termineinladung schicken. Outlook empfängt diese Mail, öffnet ein darin enthaltenen Pfad. Dafür musst du die Einladung nicht mal öffnen. Outlook meldet sich durch die Einladung mit einer Passwortrepräsentation des aktuell angemeldeten Nutzers am enthaltenen Pfad an. Diese Passwortrepräsentation kann man in einem (Unternehmens-)Netzwerk nutzen, um sich als dich auszugeben oder versuche, das Passwort offline zu knacken.
Lösung: Updates einspielen. Die Lücke wurde am Dienstag Abend geschlossen mit einem Update von Microsoft.
„Es ist keine Benutzerinteraktion erforderlich“ bezieht sich auf den Angriff. Damit die Sicherheitslücke ausgenutzt werden kann, muss der Nutzer nichts klicken, also keinen Anhang öffnen oder Link klicken – es reicht, wenn ein bösartiges Mail empfangen wird. Um sich davor zu schützen, muss ein Update installiert werden. Wenn du automatische Updates nicht deaktiviert hast, sollte das bald von alleine geschehen.
> worauf muss ein Normalo-User jetzt achten?
Das ist einfach: Outlook nicht verwenden.
Seit dem neusten iOS Update stürzt meine Outlook App mit start sofort ab.
Hat das Problem noch jemand, möchte ungern die App löschen und sämtliche Zugänge neu einrichten müssen
Heute Nacht kam ein Update, jetzt funktioniert Outlook wieder
Wenn im Outlook nur Microsoft 365 / Exchange Online Konten genutzt werden, trifft die Sicherheitslücke nicht zu.