CVE-2024-21413

Microsoft Outlook maneja incorrectamente los hipervínculos que usan el esquema de moniker `file://`. Al insertar un signo de exclamación y texto después de la ruta en un enlace manipulado, un atacante esquiva la Vista Protegida de Outlook, de modo que hacer clic en el enlace hace que Outlook contacte a un servidor SMB controlado por el atacante. Esa autenticación saliente filtra las credenciales NTLM del usuario y, en la configuración adecuada, permite la ejecución remota de código, todo a partir de un enlace dentro de un correo, siendo el propio panel de vista previa un vector de activación viable.

La exposición es enorme simplemente porque Outlook está en casi todos los escritorios corporativos, y esta falla —bautizada públicamente como MonikerLink— convierte un correo ordinario tanto en un canal de cosecha de credenciales como de ejecución de código. Los hashes NTLM filtrados alimentan los ataques de retransmisión (relay) y de descifrado offline, dando a un intruso una ruta desde un solo mensaje abierto hacia un acceso más amplio a la red. Aplique el parche de Microsoft en todas las compilaciones afectadas de Office y Microsoft 365, y refuércelo en la capa de red bloqueando el SMB saliente (puertos 445 y 139) hacia internet para que el canal de filtración de credenciales quede cerrado incluso donde un mensaje se escape. La concienciación del usuario ayuda, pero no sustituye al parche.