CVE 的 Trellix 覆盖率-2023-23397-Microsoft Outlook 权限提升漏洞

技术文章 ID: KB96418
上次修改时间: 2023-04-27 13:04:56 Etc/GMT

环境

Microsoft Outlook for Windows

摘要

本文的最近更新

日期	更新
2023年4月12日	更新了以下内容：已删除 ATD/IS 为特征码集中的覆盖面添加 Trellix 入侵防护系统
2023年3月20日	更新了 "解决方案" 部分中的以下内容：在5104（3月17日，2023） AMCore 内容发布 "中，预计" 初始覆盖范围将会在 Endpoint Security （3月17日2023） AMCore 内容发布 "5104 中包含" 初始覆盖范围。添加了 Trellix 入侵防护系统的知识库文章参考。
2023年3月17日	初始发布内容。

我们已意识到 CVE-2023-23397，最近由 Microsoft 发布。CVE-2023-23397 是 Microsoft Outlook for Windows 中的漏洞，它允许新技术 LAN manager （NTLM）凭据窃取。建议客户修补受影响的系统。此漏洞被视为严重漏洞，其 CVSS （ 3.0 ）分数 9.8 为; 请参阅 CVSS v3 计算器。

Owing 此漏洞的严重性，我们已创建了此知识库文章，以提供有关客户可用于降低其环境中风险的操作的通信。请订购本文，以接收与相关的覆盖范围和对策有关的更新。

要在更新本文时收到电子邮件通知，请单击订阅位于页面右侧。您必须登录后才能订购。

有关供应商的详细信息，请参阅以下文章：

问题

CVE-2023-23397 由 Microsoft 于2023年3月14日发布。

根据 Microsoft 安全/Security 响应中心，CVE-2023-23397 是指在攻击者向受威胁使用者控制的服务器上的 SMB （TCP 445）共享发送包含扩展 MAPI 属性的邮件时触发的 "权限严重问题升级" Microsoft 漏洞。无需用户交互。

与远程 SMB 服务器的连接会发送用户的 NTLM 协商消息，然后攻击者便可以针对支持 NTLM 身份验证的其他系统中继身份验证。诸如 Microsoft 365 之类的在线服务不支持 NTLM 身份验证，也不容易受到这些邮件的攻击。

解决方案

按照 Microsoft 的指导，使用安全更新更新受影响的 Outlook 版本。

Trellix 产品解决方案如何帮助？
我们始终建议您，最好的做法是确保软件和操作系统在发布时的可用补丁和安全更新上保持最新状态。我们还建议根据适合您的环境的入门级威胁评估和实施常规计数器措施。有关详细信息，请参阅 KB91836-针对条目矢量威胁的对策。

我们正在针对此漏洞，跨我们的安全解决方案阵容评估产品覆盖范围。本文将根据可能的覆盖范围机会和对策予以更新。

当前可对以下组件使用产品功能：

Trellix Endpoint 检测和响应： 待处理的新规则
Trellix Endpoint Security： 5104（3月17日、2023） AMCore 内容版本中包含初始覆盖范围
Trellix Helix： 两种行为规则：
- RuleID: 1.1.2772 Name:WINDOWS METHODOLOGY [RunDLL WebDAV Launch]
- RuleID:1.1.2275 Name:WINDOWS METHODOLOGY [IP UNC Arg]
Trellix 入侵防护系统： 覆盖最新的特征码集。

解决方法

您可以采取以下步骤来缓解易受攻击环境中的威胁。但是，这些步骤可能会有额外的注意事项来增加非独占测试的需要，管理员在实施后可以了解其环境中的预期行为。我们始终建议应用供应商补丁和安全更新来解决威胁。

Microsoft 提供了以下缓解策略，这可能会降低受攻击的风险 WebDAV- ，直至应用更新版本。

客户可以禁用组织计算机上运行的 WebClient 服务，类似于阻止 TCP/445 流量的建议。

注意: 此建议会阻止所有 WebDAV 连接（包括 intranet），这可能会影响您的用户或应用程序。

以下缓解因素可能会对您的情况有所帮助：

将用户添加到受保护的用户安全/Security 组，这会阻止将 NTLM 用作身份验证机制。执行此缓解功能比禁用 NTLM 的其他方法更容易排除故障。如有可能，请考虑将其用于高价值帐户（如域管理员）。

注意: 此操作可能会导致需要 NTLM 的应用程序产生影响，但从受保护的用户组中删除用户后，设置将会恢复。有关详细信息，请参阅受保护的用户安全/Security 组。
通过使用外围防火墙、本地防火墙以及通过 VPN 设置，从网络阻止 TCP 445/SMB 出站。此操作可防止将 NTLM 身份验证消息传输到远程文件共享。

免责声明

本文内容源于英文。如果英文内容与其翻译内容之间存在差异，应始终以英文内容为准。本文部分内容是使用 Microsoft 的机器翻译技术进行翻译的。

受影响的产品

语言:

此文章有以下语言版本：

Knowledge Center

CVE 的 Trellix 覆盖率-2023-23397-Microsoft Outlook 权限提升漏洞

环境

摘要

问题

解决方案

解决方法

相关信息

免责声明

受影响的产品

语言:

Title

Title

Knowledge Center

CVE 的 Trellix 覆盖率-2023-23397-Microsoft Outlook 权限提升漏洞

环境

摘要

问题

解决方案

解决方法

相关信息

免责声明

受影响的产品

语言:

选择您的区域

Title

Title