Microsoft hat über Umwege bekannt gegeben, dass alle Windows-Versionen von Outlook eine schwere Sicherheitslücke aufweisen. Das Unternehmen veröffentlichte am Dienstag – wie jeden Dienstag im Monat – seine neuesten Updates. Diesmal fand sich unter den 80 so genannten Patches (zu Deutsch: Flicken) eines, das ein Loch in Outlook beheben soll.
Das Sicherheits-Update mit der Nummer CVE-2023-23397 ist laut des investigativen Cybercrime-Blogs «KrebsOnSecurity» von Microsoft mit einem Schweregrad von 9.8 als «kritisch» eingestuft worden (der Höchstwert ist 10).
Die Schwachstelle wurden den Angaben des Unternehmens zufolge aktiv ausgenutzt. So habe «ein in Russland ansässiger Bedrohungsakteur die in CVE-2023-23397 gepatchte Schwachstelle für gezielte Angriffe auf eine begrenzte Anzahl von Organisationen in den Bereichen Regierung, Transport, Energie und Militär in Europa verwendet.»
Laut spiegel.de handelt es sich bei den Angreifern um eine dem russischen Militärgeheimdienst GRU nahestehende Hackergruppe namens APT28. Sie werde auch als Strontium, Sednit, Sofacy und Fancy Bear bezeichnet.
Die Hacker hätten die Schwachstelle demnach von April 2022 bis Dezember desselben Jahres genutzt, um sich Zugang zu den Mailsystemen zu verschaffen.
Die Cybercrime-Experten von KrebsOnSecurity schreiben:
Das heisst: Am anderen Ende muss nicht mal ein Link oder Ähnliches angeklickt werden, um ein Einfallstor für die Angreifer zu öffnen. Es reicht schon aus, wenn der Server die Nachricht entgegennimmt. Das sei vergleichbar «mit einem Angreifer, der ein gültiges Passwort besitzt und Zugang zu den Systemen eines Unternehmens hat», zitiert der Blog den IT-Sicherheitsexperten Kevin Breen.
Von der Sicherheitslücke sind alle noch von Microsoft unterstützten Windows-Versionen von Outlook betroffen, heisst es in einem Microsoft-Blogeintrag.
Die im Browser laufende Web-Version von Outlook sowie die Outlook-Apps für Android iOS, macOS sowie alle anderen Dienste des Office-Pakets Microsoft 365 seien hingegen immun, da sie nicht die gleiche Technik verwenden.
(t-online/dsc)
Wohl eher wenn der Client (also die Outlook Desktop App) die Nachricht vom Server entgegen nimmt. Sonst wäre es ja eine Server-Schwachstelle...