Microsoft Outlook-lek laat aanvaller code uitvoeren bij reply op malafide e-mail

[Captain Kirk]

Een kwetsbaarheid in Microsoft Outlook maakt het mogelijk voor aanvallers om op afstand code op de systemen van slachtoffers uit te voeren als die een malafide e-mail beantwoorden. Daarnaast kunnen twee kritieke kwetsbaarheden in Microsoft Office, die via e-mail zijn te misbruiken, ook tot remote code execution leiden. Dat laat Microsoft weten. Het techbedrijf heeft beveiligingsupdates voor de problemen beschikbaar gesteld.

De kwetsbaarheid in Microsoft Outlook (CVE-2025-62562) was eerst als kritiek aangemerkt, maar Microsoft heeft dat inmiddels aangepast naar "important". Volgens de uitleg van Microsoft moet een aanvaller het doelwit een malafide e-mail sturen, waarna het doelwit deze e-mail moet beantwoorden. Dit kan tot een "Use after free" leiden waarna de aanvaller code op het systeem van de gebruiker kan uitvoeren. Verdere details zijn niet door Microsoft gegeven, behalve dat het techbedrijf misbruik van het probleem onwaarschijnlijk acht. De impact van de kwetsbaarheid is op een schaal van 1 tot en met 10 beoordeeld met een 7.8.

Daarnaast kunnen twee kritieke kwetsbaarheden in Microsoft Office (CVE-2025-62554, CVE-2025-62557) ook tot remote code execution leiden. Misbruik kan ook via het Voorbeeldvenster (Preview Pane) plaatsvinden. Om deze twee beveiligingslekken te misbruiken moet een aanvaller het doelwit een e-mail sturen met daarin een malafide link. Daarbij hoeft het doelwit de e-mail niet te openen, te lezen of op de link te klikken om de aanvaller code op het systeem van het slachtoffer uit te laten voeren. Deze twee lekken hebben een impactscore van 8.4. Misbruik is volgens Microsoft "minder waarschijnlijk".

"Het is de elfde maand op rij met een kritieke kwetsbaarheid in Office, waarbij het Voorbeeldvenster een aanvalsvector is", zegt Dustin Childs van securitybedrijf ZDI. Voor gebruikers van Office LTSC voor Mac 2021 en 2024 zijn nog geen beveiligingsupdates beschikbaar. Microsoft zegt dat die wel zullen verschijnen, maar laat niet weten wanneer dit precies zal zijn. De beveiligingsupdates van Microsoft zullen op de meeste systemen automatisch worden geïnstalleerd.

 

bron: https://www.security.nl