CVE-2025-21298: Microsoft Outlook 0-Klick-Remotecode-Ausführungsschwachstelle

Beschreibung der Schwachstelle:

Microsoft Windows:CVE-2025-21298ist eine kritische Sicherheitslücke in Windows OLE für Remotecodeausführung mit einem CVSS-Score von 9,8. Ein Angreifer kann diese Sicherheitslücke ausnutzen, indem er eine speziell gestaltete E-Mail an einen Microsoft Outlook-Benutzer sendet. Das einfache Öffnen oder die Vorschau der bösartigen E-Mail führt zur Ausführung von beliebigem Code auf dem System des Opfers.

Schwachstellen-POC:

Die Sicherheitslücke CVE-2025-21298 befindet sich in der Datei ole32.dll und ist insbesondere auf einen doppelten Freigabefehler in der Funktion UtOlePresStmToContentsStm zurückzuführen. Diese Funktion ist für die Handhabung von OLE-Objekten zuständig, die in RTF-Dateien (Rich Text Format) eingebettet sind, ein gängiges Merkmal von Microsoft Outlook.

Das Problem liegt in der Variablen "pstmContents". Ursprünglich wurde sie verwendet, um einen Zeiger auf das Stream-Objekt "CONTENTS" zu speichern, das zu Beginn der Funktion erstellt wurde. Der Stream wird unmittelbar nach seiner Erstellung zerstört, und der darin gespeicherte Zeiger pstmContents wird freigegeben (dadurch wird er in coml2.dll!ExposedStream::~ExposedStream freigegeben). Die Variable enthält jedoch immer noch den freigegebenen Zeiger. Tiefer in der Funktion kann die Variable wieder verwendet werden, um den Zeiger auf den "CONTENTS"-Stream zu speichern - daher gibt es am Ende der Funktion einen Bereinigungscode, der den Zeiger freigibt, wenn er in der Variablen gespeichert ist. Der Code berücksichtigt nicht die Tatsache, dass UtReadOlePresStmHeader fehlschlagen kann - in diesem Fall zeigt pstmContents immer noch auf den freigegebenen Zeiger, und wir gehen zum Bereinigungscode über, der den Zeiger wieder freigibt. Es kommt also zu einer doppelten Freigabe.

Ein Angreifer kann diese Schwachstelle ausnutzen, indem er einfach eine sorgfältig gestaltete RTF-Datei per E-Mail verschickt, die bei der Vorschau in Outlook eine doppelte Freigabebedingung auslöst, die zur Ausführung von beliebigem Code ohne jegliche Benutzerinteraktion führt.

POC:
https://github.com/expdb2015/CVE-2025-21298

Video:

Auswirkungen der Schwachstelle:

Betroffene Betriebssysteme:
Windows 10, 11, Windows Server 2008, 2008 R2, 2012, 2012 R2, 2016, 2019, 2022, 2025.

Lösung:

1. das Lesen von E-Mails im Klartext: Wenn Sie Microsoft Outlook so konfigurieren, dass E-Mails im Klartext angezeigt werden, verringert sich das Risiko, dass bösartige OLE-Objekte ausgelöst werden. Diese Methode beeinträchtigt jedoch die Lesbarkeit der E-Mail, da Rich-Text-Inhalte (z. B. Bilder und spezielle Schriftarten) nicht mehr korrekt angezeigt werden.

2. vermeiden Sie das Öffnen von RTF-Dateien aus nicht vertrauenswürdigen Quellen: Benutzer sollten bei E-Mails mit RTF-Anhängen oder -Inhalten vorsichtig sein, insbesondere bei unbekannten Absendern.

3. die Anwendung des Prinzips der geringsten Privilegien: Einschränkung der Benutzerrechte, um die Auswirkungen eines erfolgreichen Angriffs zu verringern.

Referenz:

https://attackerkb.com/topics/cve-2025-21298
CVE-2025-21298
https://support.microsoft.com/help/5049981
https://support.microsoft.com/help/5049983
https://support.microsoft.com/help/5049984
https://support.microsoft.com/help/5049993
https://support.microsoft.com/help/5050004
https://support.microsoft.com/help/5050008
https://support.microsoft.com/help/5050009
https://support.microsoft.com/help/5050013
https://support.microsoft.com/help/5050021
https://support.microsoft.com/help/5050048