Los investigadores de Morphisec han identificado la vulnerabilidad CVE-2024-38021, la cual permite la ejecución remota de código (RCE) sin interacción del usuario que afecta a la mayoría de las aplicaciones de Microsoft Outlook.
A diferencia de la vulnerabilidad CVE-2024-30103 descubierta en junio, que requería autenticación (al menos un token NTLM), esta nueva vulnerabilidad no requiere ninguna autenticación.
■ Detalles e impacto técnico de CVE-2024-38021
Si se explota de forma exitosa, esta vulnerabilidad puede provocar brechas de datos, acceso no autorizado y otras actividades maliciosas.
Microsoft ha evaluado esta vulnerabilidad con una calificación de gravedad «Importante». Su evaluación distingue entre remitentes de confianza y no confiables, señalando que, aunque la vulnerabilidad es de «cero clics» para los remitentes de confianza, requiere una interacción del usuario (un clic) para los remitentes no confiables.
Dada la mayor implicación de esta vulnerabilidad, especialmente su vector de «cero clics» para los remitentes de confianza y su potencial de impacto mucho más amplio, los investigadores le han solicitado a Microsoft reevaluar la gravedad y que esta sea etiquetada como «Crítica».
La investigación de Morphisec implicó fuzzing y una ingeniería inversa extensiva del código base de Microsoft Outlook para identificar las condiciones específicas que llevaron al descubrimiento de esta vulnerabilidad.
■ Línea de tiempo de eventos
- 21 de abril de 2024: Los investigadores de Morphisec informaron inicialmente sobre la vulnerabilidad a Microsoft.
- 26 de abril de 2024: La vulnerabilidad fue confirmada.
- 9 de julio de 2024: Microsoft incluyó un parche para CVE-2024-38021 como parte de sus actualizaciones de Patch Tuesday.
- 12-13 de Agosto 2024: Presentación de detalles técnicos en DEF CON 32
Próximos detalles técnicos y prueba de concepto
Morphisec estará publicando los detalles técnicos y la prueba de concepto para CVE-2024-30103 y CVE-2024-38021 en la conferencia DEF CON 32 en Las Vegas, USA. Esto será parte de la presentación «Outlook Desatando el Caos RCE: CVE-2024-30103 y 2024-38021» con Michael Gorelik y Arnold Osipov como presentadores.
Posterior a DEF CON 32, el equipo de Morphisec Threat Labs presentará sus hallazgos técnicos en un seminario virtual en vivo el 15 de agosto a la 1 pm ET.
Recomendaciones
- Despliegue del Parche: Asegúrese de que todas las aplicaciones de Microsoft Outlook y Office estén actualizadas con los últimos parches tan pronto como estén disponibles.
- Seguridad del Correo Electrónico: Implemente medidas de seguridad robustas para el correo electrónico, incluyendo la desactivación de vistas previas automáticas de correos electrónicos si es posible.
- Concienciación del Usuario: Eduque a los usuarios sobre los riesgos asociados con la apertura de correos electrónicos de fuentes desconocidas o sospechosas.
- Gestión de la superficie de ataque: Asegúrese de contar con habilidades para analizar y evaluar sus activos digitales e información, en cualquier lugar donde su marca esté presente de forma digital.
- Capacitación y actualización: Proporcione formación a los responsables de la seguridad tecnológica en su organización, comparta información de incidentes pasados y manténgalos al tanto de nuevas vulnerabilidades que podrían ser explotadas por actores maliciosos.
Fuentes:
.
© 2026 CronUp Ciberseguridad. Todos los derechos reservados. Este contenido está protegido por la Ley Nº 17.336. Se permite su uso informativo citando la fuente y enlazando el artículo original. Su reproducción o uso sin atribución constituye infracción.
