Microsoft Outlook Remote Code Execution Vulnerability

Falha de validação de entrada (CWE-20) no Outlook que permite a um atacante, via e-mail com um hyperlink manipulado, forçar o cliente a abrir um documento fora do Protected View — pulando a barreira que normalmente isola arquivos de origem não confiável — o que abre caminho para execução remota de código. Está no catálogo KEV da CISA com exploração confirmada e PoC pública, e o EPSS de ~0,95 indica probabilidade muito alta de exploração ativa em massa.

A pesquisa do Check Point Research (apelidada 'MonikerLink') mostrou que o Outlook, ao processar hyperlinks HTML no formato file://, exibe um alerta e bloqueia o acesso quando o link aponta para um caminho UNC remoto (ex.: file:///\\10.10.111.111\test\test.rtf). Esse bloqueio existe justamente para impedir leak de credenciais NTLM via SMB. O bug: adicionando um caractere '!' seguido de texto arbitrário ao final do caminho (ex.: ...test.rtf!something), o Outlook interpreta a string como um 'Moniker Link' composto — uma FileMoniker combinada com uma ItemMoniker — e a passa para a API ole32!MkParseDisplayName(). Esse caminho de código não aplica a mesma verificação de segurança do fluxo normal de hyperlink, e o Outlook prossegue acessando o recurso remoto via SMB mesmo assim.

O efeito documentado por pesquisadores é duplo: (1) leak de material de autenticação NTLM do usuário local, pela conexão SMB feita durante a resolução do moniker (mesma classe de risco de outras técnicas de UNC-based NTLM leak); e (2) segundo a descrição da CISA no KEV, a exploração bem-sucedida permite contornar o Office Protected View, fazendo o documento referenciado abrir diretamente em modo de edição em vez de modo protegido — removendo a camada de sandboxing que normalmente neutraliza conteúdo malicioso embutido em documentos do Office.

O atacante controla o corpo do e-mail HTML (o hyperlink malicioso) e o conteúdo do documento remoto/arquivo referenciado. O vetor CVSS publicado marca UI:N (sem interação do usuário), o que diverge do PoC de exploração documentado pelo Check Point, que envolveu o clique explícito no link — não encontramos nas fontes confirmação de que a exploração ocorra apenas com preview pane, sem clique.

O vetor primário é e-mail: o atacante envia uma mensagem HTML contendo um hyperlink file:// com um caminho UNC apontando para um servidor controlado pelo atacante e o caractere '!' inserido no final do caminho para acionar o parsing como Moniker Link. Não há indicação nas fontes de necessidade de autenticação prévia no Outlook além do uso normal do cliente pela vítima, nem de configuração não padrão — o comportamento vulnerável está no processamento padrão de hyperlinks do Outlook nas versões afetadas.

Ao interagir com o link, o cliente Outlook contorna o Protected View e abre o arquivo referenciado (que pode ser um documento do Office malicioso) já em modo de edição, o que remove a mitigação padrão contra macro/conteúdo ativo embutido — a partir daí, a exploração de RCE depende do conteúdo desse documento (não documentado em detalhe nas fontes consultadas). Paralelamente, a mera resolução do link já expõe o hash NTLM do usuário via SMB, viabilizando ataques de relay/captura de credenciais independentemente de o RCE completo ser alcançado.

A CISA adicionou a falha ao catálogo KEV com exploração confirmada in-the-wild (data de inclusão 06/02/2025, quase um ano após a publicação da CVE), com prazo de correção até 27/02/2025 para agências federais dos EUA — indício de campanhas ativas bem depois da divulgação inicial. O EPSS de 0,9466 reforça que exploração automatizada em larga escala é esperada.

A correção oficial da Microsoft é a instalação das atualizações de segurança lançadas em 13/02/2024 (Patch Tuesday) para os produtos afetados. Não temos nas fontes consultadas os números exatos de build/KB por produto — antes de considerar um ambiente corrigido, confirme no Microsoft Update Catalog/WSUS que a atualização de segurança de fevereiro de 2024 (ou posterior) para a versão específica do Office/Outlook em uso foi aplicada, já que Office 2016, 2019, LTSC 2021 e Microsoft 365 Apps recebem pacotes de atualização distintos.

Como controle compensatório quando a atualização não pode ser aplicada imediatamente, bloquear tráfego SMB de saída (TCP 445) para a internet no perímetro reduz o risco de leak de credenciais NTLM via esse vetor e é uma prática geral recomendada contra ataques baseados em UNC — mas não neutraliza o componente de bypass do Protected View/RCE, que depende do patch do próprio Outlook. Desabilitar autenticação NTLM (forçando Kerberos) ou impor SMB signing mitiga o roubo/relay de credenciais, mas também é paliativo parcial.

Não existe mitigação de configuração de e-mail (como filtro de anexos) documentada nas fontes que neutralize especificamente o parsing do Moniker Link — o vetor é o próprio hyperlink no corpo HTML, não um anexo. Tratar como mito qualquer afirmação de que apenas 'não abrir anexos suspeitos' resolve: o problema está no clique em um link de texto, não em um arquivo anexado.

Monitorar tráfego SMB (porta 445) de saída de estações que executam Outlook em direção a IPs externos/desconhecidos — esse é o sinal mais direto de tentativa de exploração, já que o mecanismo depende de forçar o cliente a resolver um caminho UNC remoto via SMB. Em nível de e-mail, gateways/soluções de segurança podem inspecionar corpos HTML por hyperlinks file:// contendo caminhos UNC seguidos do caractere '!' — padrão característico do MonikerLink.

Não há assinatura de rede oficial nem indicador único confiável divulgado pela Microsoft para essa falha; a detecção depende de correlacionar e-mails com esse padrão de link com autenticações NTLM subsequentes/outbound SMB incomuns, e de EDR observando o processo do Outlook estabelecendo conexões SMB para hosts externos após abertura de e-mail.