Microsoft Office Outlook double free sérülékenysége jogosulatlan távoli kódfuttatást tesz lehetővé (CVE-2026-97749)

Mi történt

A Microsoft Office Outlookban double free sérülékenység található (CWE-415). Az a jogosulatlan támadó, aki hálózaton keresztül eléri az érintett Outlook-telepítést, a hiba kihasználásával kódot futtathat. A CVSS v3.1 vektor szerint a támadás hálózaton keresztül, alacsony komplexitással, jogosultság és felhasználói beavatkozás nélkül végrehajtható, a bizalmasságra, sértetlenségre és rendelkezésre állásra gyakorolt hatása magas. A Microsoft Kritikus súlyosságúként, 9,8 ponttal értékeli a sérülékenységet.

A CVE-hez jelenleg nem ismert aktív kihasználás vagy nyilvános közzététel, és a CISA KEV listájában sem szerepel. A Microsoft biztonsági közleménye nem közöl kerülő megoldást. Az SSVC-értékelés szerint a hiba automatizálható, és technikai hatása teljes körű, ezért a javítást akkor is érdemes kiemelten kezelni, ha nem ismertek aktív támadások.

Kit érint

A Microsoft három érintett terméket sorol fel. A Microsoft 365 Apps for Enterprise a 16.0.1 verziótól az Office Security Releases csatornán közzétett javított build előtti verziókig érintett. A Microsoft Office LTSC 2021 a 16.0.1 verziótól a 16.0.14334.20974 build előtti verziókig érintett. A Microsoft Office LTSC 2024 a 16.0.0 verziótól a 16.0.17932.21056 build előtti verziókig érintett.

Ezek az Outlook asztali telepítései, amelyek számos szervezetnél megtalálhatók. Ha az Outlookot a Microsoft 365 Apps vagy valamelyik LTSC Office-csomag részeként futtatja, ellenőrizze a csatornát vagy a buildet azokon a rendszereken, amelyek megbízhatatlan hálózatok felől elérhetők. A Microsoft ebben a biztonsági közleményben nem sorolt fel más Office-termékeket.

Mit kell most tenni

A Microsoft mindhárom érintett termékhez kiadott javításokat. Telepítse a futtatott termékhez tartozó frissítést:

1. Microsoft 365 Apps for Enterprise: frissítsen a Microsoft által a https://aka.ms/OfficeSecurityReleases oldalon megjelölt javított csatornás kiadásra.
2. Microsoft Office LTSC 2021: telepítse a 16.0.14334.20974 buildet.
3. Microsoft Office LTSC 2024: telepítse a 16.0.17932.21056 buildet.

Mivel a CVSS-vektor hálózati elérhetőséget és felhasználói beavatkozás nélküli támadást jelez, részesítse előnyben azokat a rendszereket, amelyek megbízhatatlan hálózatok felől elérhetők. A Microsoft biztonsági közleménye nem tartalmaz kerülő megoldást, így a javítás telepítése a gyártó által biztosított egyetlen megoldás.

A javításon túl

Ez egy hálózatról elérhető, felhasználói beavatkozást nem igénylő távoli kódfuttatási hiba egy széles körben telepített levelezőkliensben. Az azonnali feladat a javítás; a hosszabb távú feladat annak ismerete, hogy mely rendszereken fut ilyen kitettségű szoftver, és hogy az Ön környezete milyen gyorsan képes átvenni a Microsoft frissítését. Virtuális CISO szolgáltatásunk (vCISO) segíthet kialakítani ezt a kitettségkezelési rutint, az Ellátási lánc védelem és harmadik fél kockázatai szolgáltatásunk pedig nyomon követi a beszállítói javítási ciklusokat, hogy egy ilyen kritikus javítás ne a manuális felderítésre várjon.