Microsoft - CVE-2024-38200
Date de publication :
Un défaut de traitement des URI dans Microsoft Office permet à un attaquant non authentifié, en persuadant une victime de consulter un lien spécifiquement forgé, de récupérer son empreinte de mot de passe NTLMv2 via les protocoles SMB et HTTP.
Informations
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Non
Contournement de la politique de sécurité
Atteinte à la confidentialité des données
Exploitation
La vulnérabilité exploitée est du type
CWE-200: Exposure of Sensitive Information to an Unauthorized Actor
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Faible
• Privilèges nécessaires pour réaliser l'attaque : Aucun
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Non
Preuve de concept
Une preuve de concept est disponible en sources ouvertes.
Systèmes ou composants affectés
Microsoft Office 2016 (64-bit edition)
Microsoft Office 2016 (32-bit edition)
Microsoft Office LTSC 2021 for 32-bit editions
Microsoft Office LTSC 2021 for 64-bit editions
Microsoft 365 Apps for Enterprise for 64-bit Systems
Microsoft 365 Apps for Enterprise for 32-bit Systems
Microsoft Office 2019 for 64-bit editions
Microsoft Office 2019 for 32-bit editions
Solutions ou recommandations
Appliquer les correctifs suivants :
• Microsoft Office 2016 (64-bit edition) : [KB5002625] [KB5002570]
• Microsoft Office 2016 (32-bit edition) : [KB5002625] [KB5002570]
• Microsoft Office LTSC 2021 for 32-bit editions : [Click to Run]
• Microsoft Office LTSC 2021 for 64-bit editions : [Click to Run]
• Microsoft 365 Apps for Enterprise for 64-bit Systems : [Click to Run]
• Microsoft 365 Apps for Enterprise for 32-bit Systems : [Click to Run]
• Microsoft Office 2019 for 64-bit editions : [Click to Run]
• Microsoft Office 2019 for 32-bit editions : [Click to Run]
Des informations complémentaires sont disponibles dans le bulletin de Microsoft.