CVE-2024-21413

O Microsoft Outlook trata incorretamente hiperlinks que usam o esquema de moniker `file://`. Ao inserir um ponto de exclamação e texto após o caminho em um link forjado, um atacante contorna o Modo de Exibição Protegido do Outlook, de modo que clicar no link faz o Outlook alcançar um servidor SMB controlado pelo atacante. Essa autenticação de saída vaza as credenciais NTLM do usuário e, na configuração certa, permite execução remota de código — tudo a partir de um link dentro de um e-mail, sendo o próprio Painel de Visualização um vetor de disparo viável.

A exposição é enorme simplesmente porque o Outlook está em quase todos os desktops corporativos, e essa falha — apelidada publicamente de MonikerLink — transforma o e-mail comum tanto em um canal de coleta de credenciais quanto de execução de código. Hashes NTLM vazados alimentam ataques de relay e de quebra offline, dando a um intruso um caminho de uma única mensagem aberta rumo a um acesso mais amplo à rede. Aplique a correção da Microsoft em todas as builds afetadas do Office e do Microsoft 365, e reforce-a na camada de rede bloqueando o SMB de saída (portas 445 e 139) para a internet, de modo que o canal de vazamento de credenciais seja fechado mesmo onde uma mensagem escape. A conscientização do usuário ajuda, mas não substitui a correção.