Microsoft Outlook에는 공격자가 악성 악성 코드를 실행할 수 있는 취약점이 최근 발견되었습니다. 대상 PC. 발신자에 따라 Morphisec 연구원이 발견한 이 보안 취약점은 사용자 개입 없이 악용될 수 있습니다.
CVE-2024-38021로 알려진 이 취약점은 무단 공격자가 원격으로 코드를 실행할 수 있는 능력을 제공합니다( RCE)를 다른 당사자가 소유한 컴퓨터에 저장합니다. Morphisec의 연구에 따르면 신뢰할 수 있는 발신자로부터 이메일이 전송되면 제로 클릭 공격이 발생할 수 있습니다. 하지만 Microsoft는 해당 취약점으로 인해 사용자가 금지된 콘텐츠를 허용해야 한다고 처음에 밝혔습니다.
Morphisec은 특히 신뢰할 수 있는 발신자에 대한 제로 클릭 벡터의 경우 심각한 결과로 인해 Microsoft가 이 취약점을 심각한 수준으로 지정하도록 압력을 가했습니다. 현재 Microsoft는 이 문제에 높은 심각도 CVSS 점수 8.8을 할당했습니다.
CVE-2024-38021을 악용하면 유해한 활동, 불법 액세스 및 데이터 유출이 발생할 수 있습니다. 사용자 식별을 요구하지 않으면 위험이 크게 증가하여 대량 착취의 가능성이 높아집니다.
4월 21일 Morphisec은 Microsoft에 취약점을 통보했으며 7월 9일 현재 패치가 제공됩니다. Office 2016, 2019, LTSC 2021 및 Enterprise용 Microsoft 365 앱은 영향을 받는 항목 중 하나입니다. Microsoft는 알려진 활성 악용 상황이 없더라도 고객이 가능한 한 빨리 소프트웨어를 업데이트할 것을 권장합니다.
Microsoft는 또한 6월에 Outlook의 또 다른 RCE 취약점(CVE-2024-30103)을 패치했습니다. 특정 상황에서는 사용자 개입 없이 이 취약점이 잠재적으로 악용될 수 있습니다. 8월 라스베이거스에서 열리는 Defcon 32해커 컨퍼런스에서는 두 취약점의 기술적 세부 사항이 발표될 예정입니다.