Lỗi chèn đối số trong Microsoft Outlook cho phép thực thi chương trình tùy ý

Lỗ hổng chèn đối số trong Microsoft Outlook 2002 không lọc đầy đủ các tham số của URL mailto: khi sử dụng chúng làm đối số để gọi OUTLOOK.EXE, cho phép kẻ tấn công từ xa sử dụng mã script trong vùng Local Machine và thực thi các chương trình tùy ý.

• Microsoft Office XP SP2: bị ảnh hưởng theo bản ghi chuẩn hóa và thông báo Microsoft.
• Microsoft Outlook 2002 SP2: bị ảnh hưởng. Outlook có thể được cài độc lập hoặc là thành phần của Office XP.
• Microsoft Office XP SP3: Microsoft xác định bản cập nhật đã được tích hợp trong nhánh này và hệ thống đã cài nhánh này không cần hành động bổ sung cho lỗi này.
• Microsoft Outlook 2002 SP3: được Microsoft liệt kê là không bị ảnh hưởng.
• Microsoft cũng liệt kê Office 2000 SP3, Office 2003, Outlook 2000 SP3 và Outlook 2003 là không bị ảnh hưởng trong phạm vi phần mềm đã kiểm thử.
• Outlook Express không tự thân bị ảnh hưởng, nhưng có thể tham gia vào đường tấn công nếu Outlook 2002 được đặt làm trình đọc thư mặc định và email HTML độc hại được mở qua Outlook Express.

Microsoft Outlook mắc lỗi argument injection do không lọc đầy đủ tham số của URL mailto: trước khi truyền chúng làm đối số cho OUTLOOK.EXE. URL được tạo đặc biệt có thể làm thay đổi cách Outlook được gọi, từ đó cho phép Internet Explorer thực thi script trong vùng bảo mật Local Machine. Kẻ tấn công có thể phân phối URL qua một trang web độc hại hoặc email HTML được tạo đặc biệt, nhưng nạn nhân phải truy cập trang hoặc mở email để kích hoạt đường dẫn tấn công. Thông tin được xác nhận không cho biết chính xác hàm phân tích URL, cấu trúc payload an toàn hoặc chi tiết triển khai nội bộ còn lại. Microsoft cũng cập nhật mô tả để xác nhận rằng lỗ hổng không chỉ giới hạn ở cấu hình dùng Outlook Today làm trang chủ thư mục mặc định.

Lỗ hổng có thể bị khai thác từ xa qua nội dung web hoặc email HTML, không cần kẻ tấn công có quyền xác thực trên hệ thống đích. Việc khai thác yêu cầu người dùng truy cập trang web độc hại hoặc xem email HTML được tạo đặc biệt. Bản ghi chuẩn hóa đánh dấu đã có public exploit, nhưng các nguồn được trả về không xác định tên exploit, mã khai thác cụ thể, chiến dịch, nạn nhân hoặc dấu hiệu khai thác thực tế. CERT/CC ghi nhận vấn đề đã được công bố công khai bởi Microsoft Security và iDefense. Không nên xem việc không có chi tiết chiến dịch trong các nguồn này là bằng chứng rằng chưa từng có khai thác.

Khai thác thành công có thể khiến Internet Explorer thực thi script trong vùng Local Machine và cho phép chạy chương trình tùy ý trên máy của người dùng. Mã chạy trong ngữ cảnh bảo mật của tài khoản đang đăng nhập, vì vậy quyền của tài khoản giới hạn phạm vi truy cập và thay đổi mà kẻ tấn công có thể thực hiện. Tác động kỹ thuật có thể bao gồm truy cập tệp, thay đổi dữ liệu hoặc thực thi phần mềm độc hại trên máy trạm. Lỗ hổng không tự động chứng minh khả năng nâng quyền lên quản trị viên, lan truyền trong mạng hoặc xâm nhập các máy khác. Điều kiện người dùng phải xem nội dung độc hại cũng giới hạn đường khai thác, nhưng không loại bỏ rủi ro đối với các quy trình duyệt web và xử lý thư HTML.

• Máy trạm bị khai thác có thể cho phép mã do kẻ tấn công chọn chạy với quyền của người dùng đang đăng nhập.
• Mã đó có thể truy cập tệp trên hệ thống và thực thi chương trình, gây rủi ro đối với dữ liệu, cấu hình máy trạm và các công cụ làm việc của người dùng.
• Mức độ ảnh hưởng phụ thuộc vào quyền của tài khoản. Tài khoản ít đặc quyền làm giảm phạm vi tác động so với tài khoản có quyền quản trị.
• Các quy trình xử lý email HTML và duyệt web có thể trở thành đường vào cho cùng một máy trạm, nên chỉ kiểm soát một trong hai kênh có thể chưa đủ.
• Bản ghi không thiết lập bằng chứng về xâm nhập lan sang các hệ thống khác hoặc một vụ rò rỉ cụ thể.

1. Triển khai bản cập nhật bảo mật Microsoft MS04-009, mã KB828040, cho các cài đặt thuộc nhánh Microsoft Office XP SP2 hoặc Microsoft Outlook 2002 SP2 bị ảnh hưởng.
2. Có thể nâng cấp Office XP lên Service Pack 3, vì Microsoft xác nhận bản cập nhật đã được tích hợp trong nhánh này. Không suy luận trạng thái của các nhánh khác nếu chưa được xác minh riêng.
3. Nếu chưa thể cập nhật, tắt trang chủ thư mục Outlook Today bằng cách bỏ chọn Show home page by default for this folder cho các thư mục liên quan. Đây chỉ là biện pháp giảm đường tấn công đã biết và làm mất chức năng trang chủ Outlook Today.
4. Đối với Outlook 2002 đã áp dụng Service Pack 1 hoặc bản mới hơn trong nhánh tương ứng, bật chế độ đọc plain text cho thư không ký số hoặc không mã hóa để giảm nguy cơ từ email HTML. Biện pháp này làm mất một số nội dung định dạng và không sửa lỗi phân tích mailto:.
5. Sau khi triển khai, xác minh bản cập nhật trên từng máy trạm và kiểm tra lại cấu hình trình đọc thư mặc định, Outlook Today và chính sách hiển thị HTML.

1. Kiểm kê các máy trạm có cài Microsoft Office hoặc Outlook và ghi nhận phiên bản cùng service pack, sau đó đối chiếu với các nhánh bị ảnh hưởng và đã được xử lý trong phần affected_summary.
2. Xác minh bản cập nhật bảo mật KB828040 hoặc bản cập nhật tương ứng của Microsoft đã được triển khai trên các máy thuộc nhánh bị ảnh hưởng.
3. Kiểm tra cấu hình Outlook liên quan đến Outlook Today và xác định liệu Outlook có được đăng ký làm trình đọc thư mặc định hay không.
4. Kiểm tra chính sách hiển thị thư HTML, đặc biệt là việc đọc thư ở dạng plain text, vì đây là biện pháp giảm một đường tấn công qua email HTML chứ không sửa lỗi nền tảng.
5. Có thể rà soát telemetry endpoint để tìm việc Outlook khởi chạy chương trình, script hoặc truy cập tệp bất thường gần thời điểm người dùng mở email HTML hoặc truy cập trang web. Đây chỉ là tín hiệu săn tìm tổng quát, không phải IOC được xác nhận cho lỗ hổng này.
6. Không có log signature hoặc IOC cụ thể nào được các nguồn đã kiểm tra thiết lập; việc không thấy sự kiện đáng ngờ không chứng minh hệ thống an toàn.