Microsoft vá lỗi zero-click nghiêm trọng cho phép thực thi mã từ xa trên Outlook

[WhiteHat Team]

Microsoft vừa giải quyết một lỗ hổng nghiêm trọng có mã CVE-2025-21298 trong bản cập nhật Patch Tuesday mới nhất năm 2025. Lỗ hổng này được đánh giá điểm CVSS 9,8, ảnh hưởng đến Microsoft Outlook khi cho phép kẻ tấn công thực thi mã từ xa (RCE) trên các thiết bị Windows thông qua một email được tạo.

​

Lỗ hổng CVE-2025-21298 bắt nguồn từ Windows Object Linking and Embedding (OLE), một kỹ thuật trong Windows cho phép nhúng (embedding) và liên kết (linking) các tài liệu hoặc đối tượng trong Windows.

Vấn đề nằm ở chỗ, kẻ tấn công có thể lợi dụng OLE để thực thi mã độc trên máy tính của nạn nhân thông qua email.

Cách khai thác diễn ra như sau:

• Kẻ tấn công gửi một email độc hại được thiết kế đặc biệt đến nạn nhân.
• Nếu nạn nhân mở email hoặc chỉ cần xem trước email trong Microsoft Outlook, mã độc được nhúng trong email (thông qua OLE) sẽ tự động chạy trên máy tính của họ.

Điểm nguy hiểm của lỗ hổng này là nó không yêu cầu nạn nhân phải làm gì thêm ngoài việc xem email (zero-click). Chỉ cần email hiển thị trong ứng dụng Outlook là mã độc đã có thể hoạt động, khiến việc khai thác trở nên rất dễ dàng và gây rủi ro cao.

Vì vậy, đây là một lỗ hổng nghiêm trọng, đặc biệt với những người dùng thường xuyên nhận và quản lý email trên Microsoft Outlook.

Microsoft đã cung cấp một số giải pháp cho những người dùng chưa thể áp dụng bản vá ngay lập tức:

1. Đọc email ở định dạng văn bản thuần túy (Plain Text): Cấu hình Microsoft Outlook để hiển thị email ở định dạng văn bản thuần túy giúp giảm rủi ro kích hoạt các đối tượng OLE độc hại. Tuy nhiên, điều này có thể ảnh hưởng đến tính tiện dụng, vì nội dung phong phú như hình ảnh và phông chữ đặc biệt sẽ không hiển thị chính xác. Để biết chi tiết về cách cấu hình Outlook để đọc tất cả email ở dạng văn bản thuần túy, hãy tham khảo tài liệu của Microsoft tại đây.
2. Tránh tệp RTF từ các nguồn không tin cậy: Người dùng được khuyến cáo cẩn thận với email chứa tệp đính kèm hoặc nội dung Rich Text Format (RTF) từ những người gửi không rõ danh tính.
3. Áp dụng nguyên tắc đặc quyền tối thiểu (Principle of Least Privilege): Hạn chế quyền của người dùng để giảm thiểu tác động của việc khai thác thành công.

Theo Security Online​