CVE-2024-29209

Phish Alert Button for Outlook güncelleme mekanizmasında, bir saldırganın ana makinede uzaktan rastgele kod çalıştırmasına izin verebilecek orta seviyeli bir güvenlik açığı tespit edilmiştir. Güvenlik açığı, uygulamanın güncelleme sunucusunun kimliğini ve bütünlüğünü güvenli bir şekilde doğrulayamamasından kaynaklanmaktadır. Uygulama, belirli bir URL'yi sorgulayarak periyodik olarak güncellemeleri kontrol eder. Ancak bu işlem katı bir SSL/TLS doğrulaması uygulamamakta ve alınan güncelleme dosyalarının dijital imzasını doğrulamamaktadır. DNS spoofing yapma yeteneğine sahip bir saldırgan bu zayıflığı istismar edebilir. Saldırgan, DNS yanıtlarını manipüle ederek uygulamanın güncelleme isteklerini kendi kontrolündeki kötü amaçlı bir sunucuya yönlendirebilir. Uygulama sahte güncelleme URL'sini sorguladığında, kötü amaçlı sunucu hazırlanmış bir güncelleme paketiyle yanıt verebilir. Uygulama, güncelleme dosyasının kimliğini düzgün bir şekilde doğrulayamadığı için paketi kabul edecek ve çalıştıracaktır; bu da ana makinede rastgele kod çalıştırılmasına yol açacaktır. Etki: Bu güvenlik açığının başarıyla istismar edilmesi, bir saldırganın yüksek ayrıcalıklarla kod çalıştırmasına olanak tanıyarak potansiyel olarak veri hırsızlığına, ek kötü amaçlı yazılımların yüklenmesine veya ana sistemde diğer kötü niyetli faaliyetlere yol açabilir. Etkilenen Ürünler: Phish Alert Button (PAB) for Outlook versiyonları 1.10.0-1.10.11 Second Chance Client versiyonları 2.0.0-2.0.9 PIQ Client versiyonları 1.0.0-1.0.15 Çözüm: Bu sorunu gidermek için otomatik güncellemeler yayınlanacaktır. Etkilenen versiyonların kullanıcıları, en son versiyonun uygulandığını doğrulamalı ve uygulanmamışsa, güncelleme sunucusunun uygun SSL/TLS kontrollerini gerçekleştirerek bu güvenlik açığını gideren KnowBe4 tarafından sağlanan en son güncellemeleri uygulamalıdır. Ayrıca, DNS spoofing saldırılarını önlemek için DNS ayarlarının güvenli olduğundan emin olunması önerilir. Geçici Çözümler: DNS spoofing riskini azaltmaya yardımcı olmak için ağ iletişimini güvence altına almak amacıyla güvenli kurumsal ağlar veya VPN servisleri kullanın. Krediler: Bu güvenlik açığı, durumu üreticiye sorumlu bir şekilde bildiren Pen Test Partners'dan Ceri Coburn tarafından keşfedilmiştir.