Microsoft Outlook Elevation of Privilege Vulnerability

Falha crítica no Outlook para Windows que permite roubo de hash NTLMv2 sem qualquer interação do usuário: basta o cliente processar um e-mail malicioso (nem precisa abrir ou visualizar) para o Outlook iniciar autenticação automática contra um servidor SMB controlado pelo atacante. O hash capturado pode ser usado em ataque de relay para se autenticar como a vítima em outros serviços da rede, viabilizando escalada de privilégio e movimento lateral. É explorada ativamente desde antes da divulgação, inclusive por grupo estatal russo contra organizações na Europa.

A vulnerabilidade está na forma como o Outlook processa a propriedade MAPI PidLidReminderFileParameter em itens de calendário/tarefa. Essa propriedade pode conter um caminho UNC (\\servidor\compartilhamento\arquivo) que o Outlook tenta acessar automaticamente para reproduzir o som de lembrete, sem qualquer confirmação do usuário. Classificada como CWE-294 (autenticação por captura de credencial replayável).

O atacante controla o valor dessa propriedade dentro de um e-mail especialmente formatado (tipicamente um convite de reunião ou tarefa). Ao processar o item — o que ocorre no momento em que o cliente sincroniza a mensagem, independente de o usuário lê-la — o Outlook Windows inicia autenticação SMB/WebDAV contra o host apontado no caminho UNC, expondo o hash NTLMv2 da conta do usuário ao servidor do atacante.

O problema é exclusivo do Outlook para Windows: as versões de Outlook para Mac, Android, iOS e o Outlook Web (OWA) não são afetadas, porque não implementam esse mecanismo de reprodução automática de som via caminho de arquivo arbitrário.

O vetor de gravidade CVSS (AV:N/AC:L/PR:N/UI:N) reflete exatamente isso: ataque de rede, sem privilégio prévio, sem interação do usuário — o e-mail malicioso sozinho já dispara o comportamento vulnerável no momento da entrega/sincronização.

O vetor prático é o envio de um e-mail (convite de calendário ou tarefa) contendo a propriedade PidLidReminderFileParameter apontando para um servidor SMB (ou WebDAV) controlado pelo atacante, geralmente exposto na internet. Não é preciso enganar o usuário a clicar em nada: o Outlook processa a notificação de lembrete de forma automática assim que a mensagem chega e é sincronizada pelo cliente, disparando a tentativa de autenticação NTLM contra o host do atacante.

Com o hash NTLMv2 capturado, o atacante realiza um ataque de relay contra outro serviço da rede (Exchange, AD CS, servidores SMB internos) para se autenticar como a vítima sem precisar quebrar a senha. Dependendo dos privilégios da conta comprometida e da configuração de rede (assinatura SMB, NTLM habilitado, ausência de segmentação), isso pode escalar rapidamente para comprometimento de domínio.

Microsoft e agências de inteligência de ameaças (incluindo CERT-UA e pesquisadores independentes) documentaram exploração ativa por um grupo de ameaça patrocinado pelo estado russo (rastreado como APT28/Forest Blizzard/Strontium) contra organizações governamentais, militares, de energia e transporte na Europa, com atividade que antecede a divulgação pública da falha. A CISA incluiu a CVE no catálogo KEV no próprio dia da publicação, confirmando exploração no mundo real, e existe PoC pública circulando, o que baixa a barreira para reprodução por outros atores.

A correção definitiva é aplicar as atualizações de segurança de março de 2023 (Patch Tuesday) para as versões afetadas: Microsoft 365 Apps for Enterprise, Office 2019, Office LTSC 2021, Outlook 2013 Service Pack 1 e Outlook 2016. Não há uma versão numérica única de 'corrigido' publicada de forma consolidada nas fontes consultadas — a correção é distribuída via canal de atualização do Microsoft Update/Office normal; confirme a aplicação do update de março/2023 correspondente ao seu canal de build (MSI, Click-to-Run, ramo de atualização) através do Microsoft Update Catalog ou WSUS.

Se a atualização não puder ser aplicada imediatamente, os paliativos reais recomendados pela Microsoft são: bloquear tráfego SMB (TCP 445) de saída para a internet no firewall de perímetro, o que impede o relay para servidores externos mas não protege contra ataques originados dentro da rede interna; adicionar contas de usuário de alto risco ao grupo de segurança 'Protected Users' do Active Directory, que impede o uso de NTLM para essas contas; e desabilitar NTLM como mecanismo de autenticação onde for viável, substituindo por Kerberos. Nenhum desses paliativos é substituto completo do patch — eles reduzem a superfície de relay, mas não impedem a captura inicial do hash.

Microsoft publicou um script de verificação/mitigação para administradores identificarem, em mailboxes do Exchange (on-premises ou Exchange Online), itens de calendário e e-mail com a propriedade PidLidReminderFileParameter apontando para caminhos UNC suspeitos, e removê-los. Isso serve tanto para auditoria de comprometimento passado quanto para limpeza preventiva.

O principal sinal é a presença, em itens de calendário, tarefa ou e-mail nos mailboxes (Exchange on-premises ou Exchange Online), da propriedade MAPI PidLidReminderFileParameter contendo um caminho UNC (\\host\compartilhamento\...) em vez de um caminho de som local legítimo — Microsoft disponibilizou script de varredura para essa verificação. Em nível de rede, monitorar tentativas de autenticação NTLM de saída (SMB/TCP 445 ou WebDAV) originadas de estações com Outlook para endereços IP externos ou desconhecidos é um indicador forte de tentativa de exploração, já que o comportamento normal do cliente não gera esse tráfego.

Não há assinatura de conteúdo de e-mail universal confiável, porque o payload malicioso está em uma propriedade MAPI e não necessariamente no corpo visível da mensagem — soluções de gateway de e-mail tradicionais podem não inspecionar essa propriedade, o que torna a varredura direta nos mailboxes e o monitoramento de tráfego SMB/NTLM de saída mais confiáveis do que filtros de conteúdo.