CVE-2026-124194: Microsoft Office Outlook Fehlende Benutzerinteraktion für potenziell unsicherer Aktion Sicherheitslücke

Microsofts Sicherheitsmitteilung besagt, dass die Schwachstelle CVE-2026-124194 es einem nicht authentifizierten Angreifer ermöglicht, eine speziell präparierte Nachrichtendatei zu versenden und einen Benutzer zu überreden, sie in einer betroffenen Version von Microsoft Outlook zu öffnen.[2]Microsoft sagt, dass das Öffnen der Datei Outlook dazu bringen könnte, sich ohne Anzeige der üblichen Warnung vor externen Inhalten mit einem von einem Angreifer kontrollierten Netzwerkort zu verbinden[2], was Anmeldedaten offenlegen könnte, mit denen der Angreifer den Benutzer nachahmen kann. Microsoft sagt auch, dass der Vorschaubereich kein Angriffsvektor ist.[2]SOC Prime berichtet, dass die Schwachstelle NTLMv2-Authentifizierungsdaten offenlegen und Credential Theft und Account Impersonation ermöglichen kann[3]. Es berichtet auch, dass Microsoft sie als Moderat mit einer CVSS-3.1-Bewertung von 6,5 einstuft.[3]Nach Angaben von SOC Prime betrifft der Fehler Microsoft 365 Apps for Enterprise, Microsoft Office LTSC 2021 und Microsoft Office LTSC 2024.[3]Shattered.io berichtet, dass das Release 1.094 CVEs am 10. November behoben hat[4], und dass dies die einzige ausgebeutete Zero-Day im Release war.[4] Shattered.io weist auch darauf hin, dass Microsoft nicht gesagt hat, wer Outlook angreift, wann die Angriffe begannen oder wie weit verbreitet sie sind[4]. Jack Bicer von Action1, zitiert auf DEV Community, sagte: "Email ist die leichteste Tür in jedes Unternehmen, und dieser Fehler verwandelt eine geöffnete Datei in eine gestohlene Identität."[5]Nach Angaben von WindowsForum berichtet Splashtop, dass der Fix in den Microsoft 365 Apps und Office LTSC 2021 und 2024 Sicherheitsupdates enthalten ist und nicht im Windows-Kumulativupdate[4].