I. Giới thiệu
CVE-2023-23397 là một lỗ hổng nâng cao đặc quyền/bỏ qua xác thực quan trọng trong Outlook, được phát hành trong March Patch Tuesday của Microsoft. Lỗ hổng ảnh hưởng đến tất cả các phiên bản của Windows Outlook, được xếp hạng 9,8 CVSS và là một trong hai zero-day được tiết lộ vào ngày 14 tháng 3.
II. Phân tích
CVE-2023-23397 là lỗ hổng nâng cao đặc quyền (EoP) trong Microsoft Outlook. Đây là một zero-touch exploit, có nghĩa là lỗ hổng bảo mật yêu cầu mức độ phức tạp thấp để khai thác và không yêu cầu tương tác của người dùng.
Tin tặc đã khai thác lỗ hổng CVE-2023-23397 bằng cách lợi dụng tính năng tạo lịch hẹn phổ biến trên Outlook – cho phép gửi email thông báo đến người dùng, từ đó đánh cắp mã băm NTLM của người dùng từ xa.
Kẻ tấn công gửi một tin nhắn cho nạn nhân với thuộc tính Message Application Program Interface (MAPI) mở rộng với đường dẫn Universal Naming Convention (UNC) tới Server Message Block (SMB, via TCP 445) do kẻ tấn công kiểm soát. Kẻ tấn công gửi lời mời lịch độc hại.msg — định dạng thông báo hỗ trợ lời nhắc trong Outlook — để kích hoạt điểm API dễ bị tấn công PlayReminderSound bằng cách sử dụng “PidLidReminderFileParameter” (tùy chọn âm thanh cảnh báo tùy chỉnh cho lời nhắc).
Khi nạn nhân kết nối với máy chủ SMB của kẻ tấn công, máy chủ này sẽ tự động gửi thông báo New Technology LAN Manager (NTLM) tới người dùng, tin nhắn này có thể được sử dụng để xác thực đối với các hệ thống khác hỗ trợ xác thực NTLM.
Băm NTLMv2 là giao thức mới nhất mà Windows sử dụng để xác thực và giao thức này được dùng cho một số dịch vụ với mỗi phản hồi chứa biểu diễn băm của thông tin người dùng, chẳng hạn như tên người dùng và mật khẩu. Do đó, kẻ tấn công có thể thực hiện một cuộc tấn công chuyển tiếp NTLM để giành quyền truy cập vào các dịch vụ khác hoặc xâm phạm toàn bộ miền nếu người dùng bị xâm phạm là quản trị viên. Mặc dù các dịch vụ trực tuyến như Microsoft 365 không dễ bị tấn công bởi vì chúng không hỗ trợ xác thực NTLM, ứng dụng Microsoft 365 Windows Outlook vẫn dễ bị tấn công.
Tương tác của người dùng là không cần thiết để kích hoạt (ngay cả trước khi xem trước tin nhắn), cũng như không yêu cầu đặc quyền cao. CVE-2023-23397 là một lỗ hổng zero-touch được kích hoạt khi nạn nhân nhận được lời nhắc và thông báo (ví dụ: khi một cuộc hẹn hoặc nhiệm vụ nhắc năm phút trước thời gian được chỉ định). Rất khó để chặn lưu lượng SMB gửi đi cho người dùng từ xa. Kẻ tấn công có thể sử dụng cùng thông tin đăng nhập để có quyền truy cập vào các tài nguyên khác.
*Các kịch bản tấn công có thể xảy ra
-
Lateral movement: điều hướng độc hại bằng cách sử dụng hàm băm NTLM được chuyển tiếp
Các cuộc tấn công chuyển tiếp đã trở nên nổi tiếng như một trường hợp sử dụng cho Mimikatz bằng cách sử dụng thói quen kết xuất thông tin đăng nhập NTLM thông qua module sekurlsa. Ngoài ra, các cuộc tấn công pass-the-hat (PtH) (hoặc pass-the hash) và các biến thể của hành vi trộm cắp dữ liệu và thông tin có thể được thực hiện. Khi những kẻ tấn công đã ở trong hệ thống, chúng có thể sử dụng mạng để di chuyển và điều hướng các tuyến của tổ chức qua SMB.
-
Truyền payload thông qua WebDAV
Kẻ tấn công có thể tận dụng các dịch vụ WebDAV trong trường hợp không có dịch vụ SMB hợp lệ cho Outlook tồn tại (nghĩa là không được định cấu hình) trong máy khách. Đây là một giải pháp thay thế cho dịch vụ Web/HTTP cũng có thể được đọc dưới dạng đường dẫn UNC bởi các mục .msg và/hoặc Outlook Calendar. Những kẻ tấn công có thể thiết lập một máy chủ WebDAV độc hại để phản hồi các máy khách nạn nhân bị ảnh hưởng bằng các trang độc hại. Các trang này có thể chứa mã bao gồm việc tận dụng kỹ thuật duyệt thư mục tương tự như lỗ hổng CVE-2022-34713 của Microsoft (được đặt tên là DogWalk) để đẩy bất kỳ hình thức tải trọng nào nhằm thực thi mã từ xa, chẳng hạn như webshell.
III. Khuyến nghị
Để ngăn chặn các cuộc tấn công bằng cách khai thác lỗ hổng CVE-2023-23397:
- Người dùng cần áp dụng bản vá có sẵn ngay lập tức.
- Thêm người dùng vào nhóm Protected Users trên Active Directory và chặn outbound SMB (TCP cổng 445).
- Microsoft đã cung cấp tài liệu và đoạn script có sẵn để giúp các tổ chức kiểm tra xem hệ thống có đang bị ảnh hưởng hay không.
Trước tình hình ngày càng gia tăng của các cuộc tấn công mạng và những lỗ hổng mới được phát hiện mỗi ngày, CVE-2023-23397 trên Microsoft Outlook là một minh chứng rõ ràng cho sự cần thiết của việc bảo vệ hệ thống và dữ liệu cá nhân nhằm tránh bị kẻ xấu thu thập thông tin như tài khoản, địa chỉ email làm mục tiêu để tấn công. Việc nhanh chóng cập nhật bản vá và áp dụng các giải pháp an ninh khác trong doanh nghiệp hoặc tổ chức cần được thực hiện luôn và ngay.