התיאור הרשמי של החולשה הזאת הוא שורה אחת: הרצת קוד מרחוק ב-Microsoft Outlook. את מה שהשורה אינה אומרת אפשר לקרוא מפרופיל ה-CVSS, והוא מסביר למה הציון הוא 9.8 מתוך 10.

מה החולשה?

פרופיל ה-CVSS מפרק כל תקיפה לתנאים שלה, וכאן כל התנאים נוחים לתוקף. התקיפה מגיעה דרך הרשת. היא אינה דורשת שיהיו לתוקף הרשאות כלשהן מראש. היא אינה דורשת שהמשתמש יעשה משהו. וההשפעה שלה על סודיות המידע, על שלמותו ועל זמינות המערכת מסומנת כגבוהה בשלושתם.

התנאי שראוי לתשומת לב הוא זה שלפני האחרון. בלי פעולה של המשתמש. בתוכנת דואר, שרוב התקיפות דרכה מבוססות על כך שמישהו לוחץ על משהו, זו הבחנה משמעותית.

סוג הבאג מסווג כאימות קלט לקוי, כלומר התוכנה מקבלת נתון מבחוץ ומעבדת אותו בלי לוודא שהוא בגבולות שהיא מצפה להם. את הפרטים המדויקים של המנגנון התיאור הרשמי אינו נותן. החולשה מוכרת בציבור בשם MonikerLink, וכך היא מופיעה במחקר של Check Point שמקושר לרשומה, אבל התיאור עצמו נשאר ברמת הכותרת.

מי מושפע?

הרשומה מונה את משפחות המוצרים Office 2016, Office 2019, Microsoft 365 Apps ו-Office LTSC. מספר גרסה מדויק מופיע בה רק עבור Office LTSC 2021.

המשמעות המעשית היא שהשוואה עצמאית מול הרשומה לא תיתן תשובה חדה לגבי רוב ההתקנות, והמקום לבדוק בו הוא דף העדכון של מיקרוסופט. Outlook הוא תוכנת הדואר של רוב הארגונים בישראל, כך שמספר ההתקנות שהיו רלוונטיות כאן גדול.

האם מנוצלת בפועל?

כן. ב-6 בפברואר 2025 הכניסה CISA, סוכנות הסייבר האמריקאית, את החולשה לקטלוג ה-KEV, הרשימה של חולשות שידוע שתוקפים מנצלים בשטח, עם מועד יעד לתיקון בגופים הפדרליים ב-27 בפברואר 2025.

הרשומה הפומבית נפתחה ב-13 בפברואר 2024, כמעט שנה קודם לכן. חולשה בתוכנת דואר נפוצה אינה מפסיקה להיות שימושית לתוקפים ברגע שהתיקון קיים. היא מפסיקה כשהתיקון מותקן.

מה עושים?

ב-Microsoft 365 Apps פתחו את Outlook, ואז קובץ, חשבון Office, אפשרויות עדכון, עדכן כעת. התוכנה תוריד את העדכון ותבקש לסגור ולפתוח אותה מחדש.

בהתקנות Office 2016, Office 2019 ו-Office LTSC העדכון מגיע דרך Windows Update או דרך מנגנון העדכונים הארגוני. ודאו שהעדכונים של האופיס, ולא רק של מערכת ההפעלה, אכן מוחלים אצלכם. זו הפרדה שנשכחת לא פעם בסביבות מנוהלות.

את הגרסה המדויקת שסוגרת את החולשה במוצר שברשותכם תמצאו בדף העדכון של מיקרוסופט, שהוא גם המקום היחיד שנותן מספרים לכל משפחת מוצר ולא רק ל-LTSC 2021.