Уязвимость в Outlook позволяет считывать данные пользователя

Уязвимость в Outlook позволяет считывать данные пользователя

Уязвимость в Outlook позволяет считывать данные пользователя

Уязвимость в Microsoft Outlook позволяет злоумышленникам узнать пользовательские данные благодаря просмотру RTF документа, который содержит OLE файл. Уязвимость нашел исследователь CERT Уилл Дорман еще в 2016 году.

Исследователи CERT нашли уязвимость (CVE-2018-0950) в протоколах Windows OLE (Object Linking and Embedding) и SMB (Server Message Block). OLE - это протокол Windows, который позволяет приложениям обмениваться данными. Например, OLE позволяет автору документа вставлять контент, такой как изображения и звуки, из программ в документы Microsoft Office как объекты. Дорман выяснил, что лазейка для злоумышленников лежала через протокол Windows SMB (Server Message Block), который позволяет просматривать документы на удаленном сервере, без его загрузки на локальный диск. При просмотре документа в письме протокол не запрашивал разрешения на открытие объектов внутри документа. Это обеспечивало открытие OLE файла сразу после просмотра RTF документа.

“Если пользователь откроет текстовый документ (RTF) в Microsoft Outlook, то злоумышленник может получить IP-адрес жертвы, имя домена, имя пользователя, имя хоста, а также хеш пароля” - сообщает Дорман.

Microsoft уже давно пытается предотвратить автоматическую загрузку изображений в Outlook из-за риска возникновения ошибок, в результате которых может произойти утечка конфиденциальной информации. Такие баги иногда называют сигнальными маяками. Они используются почтовыми сендерами для сбора метаданных получателей, таких как IP-адрес системы и время просмотра сообщения. Дорман, используя SMB-соединение для передачи OLE файла в документе RTF, нашел способ узнать метаданные получателя: он, используя Wireshark, бесплатный анализатор с открытым исходным кодом, смог идентифицировать IP-адрес жертвы, имя домена, имя пользователя и хеш-пароль Microsoft LAN Manager (NTLMv2). 

Апрельские патчи Microsoft частично решили проблему с уязвимостью: патч CVE-2018-0950 не позволяет Outlook автоматически запускать SMB-соединения при просмотре в письме документа RTF. Однако, исследователи CERT утверждают, что проблема доступа OLE файла к пользовательским данным осталась.

“К примеру, если электронное письмо содержит ссылку UNC, Outlook автоматически сделает эту ссылку доступной. Если пользователь нажимает на такую ссылку, воздействие может оказаться таким же, как и с этой уязвимостью“, - предупреждает CERT.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Крупные ИТ-компании обяжут помогать профильным вузам

Крупные ИТ-компании с 1 июня 2026 года могут обязать заключать соглашения с профильными вузами о финансовой поддержке и иных формах содействия в подготовке кадров. Это станет новым обязательным условием аккредитации, которая обеспечивает компаниям ряд льгот: от налоговых послаблений до поддержки сотрудников, включая льготную ипотеку и отсрочку от призыва.

Как сообщают «Ведомости», инициативу озвучил заместитель министра цифрового развития, связи и массовых коммуникаций Сергей Кучушев на форуме «Цифровые решения».

Ранее о необходимости подобного механизма говорил первый вице-премьер Дмитрий Григоренко. Он предлагал направлять на поддержку образования 5% средств, которые компании экономят благодаря мерам государственной поддержки, в первую очередь — нулевой ставке НДС.

Министр цифрового развития Максут Шадаев сообщал о подготовке подобного требования ещё в августе 2024 года. А в феврале 2025 года Минцифры дополнило перечень условий для аккредитованных ИТ-компаний пунктом об участии в разработке образовательных программ для вузов и колледжей, включая учебные курсы и стажировки.

Как отметили «Ведомостям» представители таких вузов, как ИТМО, МИФИ и МГТУ им. Н. Э. Баумана, сотрудничество с ИТ-компаниями уже сейчас активно развивается именно в этих форматах. Специалисты из отрасли проводят занятия, а компании финансируют оснащение лабораторий оборудованием и программным обеспечением.

По словам Сергея Кучушева, требование будет закреплено в правительственном постановлении, которое сейчас находится в разработке. Для подтверждения аккредитации ИТ-компании должны будут предоставлять соглашения с вузами и ссузами. Подробный порядок взаимодействия утвердят не позднее чем через три месяца после выхода документа.

В пресс-службе Минцифры уточнили, что нововведение коснётся только крупных аккредитованных ИТ-компаний с выручкой более 1 млрд рублей в год и численностью сотрудников не менее 100 человек.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru