CVE-2024-21413
— 神龙十问 AI 深度分析摘要
CVSS 9.8 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：微软 Outlook 存在安全漏洞，被称为 #MonikerLink Bug。
🔥 **后果**：可导致 **NTLM 凭证泄露** 和 **远程代码执行 (RCE)**。
⚠️ **严重性**：CVSS 评分高达 **9.8** (Critical)，几乎满分危险！
Q2根本原因？（CWE/缺陷点）
🔍 **CWE**：CWE-20 (Improper Input Validation，输入验证不当)。
🐛 **缺陷点**：Outlook 在预览面板中处理外部链接时，**未正确验证** 来源，导致恶意链接被自动触发。
💡 **关键点**：它甚至能绕过 Office 的 **受保护视图 (Protected View)** 安全机制！
Q3影响谁？（版本/组件）
📦 **受影响产品**：Microsoft Office 2019 (32位 & 64位)。
📦 **受影响服务**：Microsoft 365 Apps for Enterprise (32位系统)。
🏢 **厂商**：Microsoft。
📅 **发布时间**：2024-02-13。
Q4黑客能干啥？（权限/数据）
💀 **黑客能力**：
1️⃣ **窃取凭证**：泄露本地 NTLM 哈希值（密码哈希）。
2️⃣ **远程执行**：通过链式攻击（如结合 CVE-2023-21716）实现 **RCE**。
3️⃣ **横向移动**：利用窃取的哈希值在域内横向渗透。
🔓 **权限**：无需用户交互，无需认证，直接获取高权限。
Q5利用门槛高吗？（认证/配置）
📉 **门槛极低**！
🚫 **无需认证** (PR:N)。
🚫 **无需用户交互** (UI:N) - 甚至在预览面板即可触发！
🌐 **网络远程** (AV:N)。
🎯 **攻击简单**：只需发送一封包含恶意链接的邮件，受害者打开预览即可中招。
Q6有现成Exp吗？（PoC/在野利用）
🔥 **有现成 PoC**！
✅ GitHub 上已有多个 Proof of Concept 脚本 (Expect Script, Python)。
📝 **利用方式**：通过 SMB 监听器捕获 NTLM 哈希。
🛠️ **工具**：如 `impacket-smbserver` 配合 POC 脚本使用。
⚠️ **注意**：已有在野利用风险，需立即行动。
Q7怎么自查？（特征/扫描）
🔍 **自查特征**：
1️⃣ 检查 Office 版本是否为 **2019** 或 **M365 Enterprise (32-bit)**。
2️⃣ 监控邮件网关日志，查找包含 **UNC 路径** (`\\IP\share\file`) 的恶意邮件。
3️⃣ 监控 SMB 流量，看是否有异常的 **NTLM 认证请求** 指向外部不可信 IP。
📡 **扫描**：使用支持 CVE-2024-21413 检测规则的安全扫描器。
Q8官方修了吗？（补丁/缓解）
🛡️ **官方已发布补丁**！
📌 参考链接：Microsoft Security Response Center (MSRC) 公告。
✅ **建议**：立即通过 Windows Update 或 Office 更新渠道安装最新安全补丁。
🔄 **状态**：漏洞已公开，微软已确认并修复。
Q9没补丁咋办？（临时规避）
🚧 **无补丁临时规避**：
1️⃣ **禁用预览窗格**：在 Outlook 中关闭邮件预览功能，强制用户双击打开。
2️⃣ **网络隔离**：阻止内部主机向外部不可信 IP 发起 SMB 连接。
3️⃣ **强化认证**：启用 **NTLMv2** 并限制 LM/NTLMv1 使用，增加哈希破解难度。
4️⃣ **邮件过滤**：在网关层拦截包含 UNC 路径附件或链接的邮件。
Q10急不急？（优先级建议）
🚨 **极度紧急！优先级 P0**！
💥 **理由**：CVSS 9.8，无需交互，可远程执行代码，且 PoC 公开。
🏃 **行动**：
1️⃣ 立即打补丁。
2️⃣ 若无法立即更新，强制禁用预览窗格。
3️⃣ 监控 NTLM 哈希泄露迹象。
⏳ **不要等待**，这是高危漏洞，极易被自动化攻击利用。