2023第一个重大漏洞，几乎影响所有组织

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户，每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序把安全装进口袋

资讯

^{0
1
2
3
4
5
6
7
8
9
0
1
2
3
4
5
6
7
8
9
0
1
2
3
4
5
6
7
8
9}

2023第一个重大漏洞，几乎影响所有组织

小王斯基 2023-03-20 15:44:29 308251

所属地上海

Dark Reading 网站披露，微软修复了 Outlook 中存在的零日漏洞，漏洞被追踪为 CVE-2023-23397，是一个权限提升漏洞，攻击者可以利用该漏洞访问受害者的 Net-NTLMv2 响应身份验证哈希并冒充用户。安全研究人员警告称 CVE-2023-23397 非常危险，有望成为近期影响最深远的漏洞。 1679301522_64181b9287a09e50ea9d3.png!small?1679301522650

CVE-2023-23397 漏洞由乌克兰计算机应急响应小组（CERT）的研究人员和微软一名研究人员发现，本周早些时候微软已经进行了补丁更新。

攻击者能够轻松利用漏洞

一旦攻击者成功利用 CVE-2023-23397 漏洞，便可通过向受害者发送恶意 Outlook 邮件或任务来窃取 NTLM 身份验证哈希。当 Outlook 客户端检索和处理这些邮件时，这些邮件会自动触发攻击，可能会在预览窗格中查看电子邮件之前导致攻击。换句话说，目标实际上不必打开电子邮件就成为攻击的受害者。

据悉，漏洞主要影响运行 Exchange 服务器和 Outlook for Windows 桌面客户端的用户，Outlook for Android、iOS、Mac 和 Outlook for Web（OWA）等均不受影响。

OcamSec 创始人兼首席执行官 Mark Stamford 表示，潜在的攻击者可以发送特制的电子邮件，使受害者与攻击者控制的外部 UNC 位置建立连接，这将使得攻击者获得受害者的 Net-NTLMv2 哈希，然后攻击者将其转发给另一个服务并作为受害者进行身份验证。

漏洞存在的一系列潜在影响

Foretrace 创始人兼首席执行官 Nick Ascoli 指出，微软并没有提及网络犯罪分子如何利用 CVE-2023-23397 漏洞，但根据研究来看，通过该漏洞，攻击者可以不断重复使用被盗的身份验证，最终成功盗取数据或安装恶意软件。 1679302595_64181fc37dea8c3c726c7.png!small?1679302595660

Viakoo 首席执行官 Bud Broomhead 表示，一些最容易受到商业电子邮件泄露的人可能是潜在受害者。此外， Broomhead 警告称，一旦漏洞被成功利用，会带来核心 IT 系统被破坏、分发大量恶意软件、以及业务运营和业务连续性中断等安全风险。

CVE-2023-23397 影响巨大

值得一提的是，Broomhead 表示虽然微软可能每个时期都会出现一些安全漏洞，但 CVE-2023-23397 漏洞无疑是一个有力的“竞争者”。该漏洞几乎影响到所有类型和规模的实体组织，对员工进行培训并不能减缓漏洞带来的影响，所以这可能是一个需要付出更大努力来缓解和补救的漏洞。

Hornetsecurity 首席执行官 Daniel Hofmann 也一直在强调 CVE-2023-23397 漏洞可能带来巨大危害，毕竟该漏洞已经公开，而且概念验证的说明已有详细记录，其它威胁攻击者可能会在恶意软件活动中采用该漏洞，并针对更广泛的受众。总的来说，利用该漏洞非常简单，在 GitHub 和其它开放论坛上已经可以找到公开的概念证明。