Suivi KEV › Microsoft

CVE-2024-21413 Microsoft Outlook : vulnérabilité de validation incorrecte des entrées

Critique Vulnérabilité activement exploitée, exploitable massivement : la CISA l’a ajoutée à son catalogue KEV le 6 février 2025.

  • Produit : Microsoft Office Outlook
  • Ajoutée au catalogue : 6 février 2025
  • Échéance CISA : 27 février 2025
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-20
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : 95 %
  • Technologie : Microsoft Office

Microsoft Outlook contient une vulnérabilité de validation incorrecte des entrées qui permet une exécution de code à distance. L'exploitation réussie de cette vulnérabilité permettrait à un attaquant de contourner la vue protégée d'Office et d'ouvrir en mode édition plutôt qu'en mode protégé.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · msrc.microsoft.com

Gravité et exploitation

  • Score CVSS 3.1 : 9,8 sur 10, gravité critique CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
  • Exploitable à distance, par le réseau, sans compte, sans action de la victime.
  • Probabilité d’exploitation dans les 30 jours (EPSS) : 94,7 %, parmi les 0,1 % de CVE les plus susceptibles d’être exploitées
  • Code d’exploitation public : signalé par la NVD.

Versions concernées

  • 365 apps : toutes versions
  • office 2016 : toutes versions
  • office 2019 : toutes versions
  • office long term servicing channel : version 2021

D’après la NVD. Vérifiez toujours l’avis de l’éditeur, qui fait foi.

Type de faiblesse

  • Validation d'entrée inappropriée (CWE-20) : Le produit reçoit des données d'entrée, mais ne valide pas ou valide incorrectement que ces données possèdent les propriétés requises pour les traiter de manière sûre et correcte.

Chronologie

  1. — Publication de la CVE
  2. — Exploitation confirmée : ajout au catalogue KEV de la CISA
  3. — Échéance de correction pour les agences fédérales américaines

Références

Sources : catalogue KEV de la CISA (CC0), NVD (NIST), EPSS (FIRST.org), CWE (MITRE). Données mises à jour automatiquement.

Texte original de la CISA (anglais)

Microsoft Outlook Improper Input Validation Vulnerability

Microsoft Outlook contains an improper input validation vulnerability that allows for remote code execution. Successful exploitation of this vulnerability would allow an attacker to bypass the Office Protected View and open in editing mode rather than protected mode.

Required action: Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

← Toutes les failles Microsoft · Suivi KEV