NCSC en DTC waarschuwen voor Outlook-bug waarvan proof-of-concept online staat

Het Nationaal Cyber Security Centrum waarschuwt voor potentieel misbruik van een bug in Microsoft Office. Die werd deze week gerepareerd, maar volgens het NCSC is er inmiddels een proof-of-concept verschenen waarmee het makkelijk is de bug uit te buiten.

Het NCSC schrijft dat in een advisory die getrackt wordt als NCSC-2024-0063. Daarin worden verschillende kwetsbaarheden in Office en andere Microsoft-apps beschreven. Die kwetsbaarheden werden eerder deze week gerepareerd tijdens Patch Tuesday, maar volgens het NCSC is er nu extra haast geboden bij het installeren van de patches. Ook het Digital Trust Center waarschuwt inmiddels voor de bugs.

Een van de ernstigste bugs die tijdens Patch Tuesday werd gerepareerd, levert nu extra gevaar op. Dat is CVE-2024-21413, een remote code execution-kwetsbaarheid in het Preview-venster van Outlook. Als een aanvaller die bug kan uitbuiten, kan die de Protected View in Outlook omzeilen. De kwetsbaarheid krijgt een CVSS-score van 9.8, al noemt Microsoft het 'onwaarschijnlijk' dat de kwetsbaarheid in de praktijk wordt uitgebuit.

Toch waarschuwt het NCSC nu voor die kwetsbaarheid. "Van de kwetsbaarheid met kenmerk CVE-2024-21413 is proof-of-conceptcode publiek beschikbaar", schrijft het securitycentrum. Dat betekent niet direct gevaar, zegt het Digital Trust Center: "De PoC laat op dit moment alleen de potentie van de uitvoer zien en is niet functioneel. Het NCSC verwacht echter op korte termijn uitvoerbare exploitcode. Dit betekent dat er een grote kans is dat deze kwetsbaarheid wordt misbruikt; de schade hiervan kan groot zijn." De instanties raden beheerders dan ook aan de Patch Tuesday-reparaties snel te installeren.