微软Outlook特权提升漏洞说明及修复方案

2023-03-18

微软在2023年3月份的安全更新中，发布了一个针对Outlook特权提升的严重安全漏洞，该漏洞编号是CVE-2023-23397，CVSS评分达到9.8。

现将此次漏洞做一简单说明，并提供修复方案供各位参考：

1.故障现象

攻击者可以利用此安全漏洞，发送特制的电子邮件来获取收件用户的 Net-NTLMv2 哈希值，且不需要用户交互。成功利用此漏洞的攻击者可提升受攻击系统账户的权限并获得 SYSTEM 权限执行任意代码。

微软官方表示，这漏洞可以经由预览窗格预览邮件而触发，让受害者没开信也会遭到攻击。

2.影响范围

本漏洞影响所有版本Windows版Outlook（Microsoft 365 Apps for Enterprise, Office LTSC 2021, Outlook 2019, Outlook 2016, Outlook 2013, Outlook 2013 RT），但Android、iOS、Mac及Web版Outlook则未受影响，且Microsoft 365等线上服务不支持NTLM验证，因此不受这类恶意信件影响。

3.解决方案

目前，微软官方已经修复了该漏洞，并发布了最新版本，请大家根据环境中的outlook版本尽快更新。

官方下载链接：https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-23397

以下是针对此漏洞微软的官方博客说明：https://msrc.microsoft.com/blog/2023/03/microsoft-mitigates-outlook-elevation-of-privilege-vulnerability/

安全漏洞报告

微软Outlook特权提升漏洞说明及修复方案