Microsoft Outlook : une faille critique a été découverte, installez la mise à jour

Cybermalveillance.gouv.fr, la plateforme gouvernementale conçue pour aider et conseiller les particuliers, les entreprises et les institutions face aux menaces numériques, tire la sonnette d’alarme au sujet de Microsoft Outlook. Le site vient en effet de déclencher une « Alerte Cyber » concernant une faille de sécurité critique dans la messagerie.

Ce type d’alerte, mis en place il y a bientôt trois ans, prévient les entreprises lorsqu’une brèche de sécurité majeure est repérée. Il est plutôt rare que le site sonne l’alerte pour une faille de sécurité. Ce n’est d’ailleurs que la onzième fois qu’une « AlerteCyber » est émise depuis l’été 2021, date de la création de l’outil.

La vulnérabilité, évoquée sous le nom de CVE-2024-21413, peut permettre de « conduire des attaques massives contre les systèmes vulnérables », avance Cybermalveillance.gouv.fr. Grâce à la faille, des cybercriminels pourraient prendre à distance le contrôle des ordinateurs d’une entreprise pour voler des données ou encore détruire des informations.

À lire aussi : Microsoft confirme qu’un bug empêche certains clients mail de se connecter aux comptes Outlook.com

Faille critique et lien malveillant

Seuls Microsoft Office 2016, Microsoft Office 2019, Microsoft Office LTSC 2021 et Microsoft 365 Apps font partie des systèmes concernés par l’avertissement. Comme l’indique Microsoft, la version web d’Outlook n’est pas affectée par la vulnérabilité critique. D’après le communiqué de l’entreprise américaine, la faille permet à un hacker de contourner les mesures de sécurité incluses dans la suite Office, notamment celles qui empêchent l’accès à un outil externe sans l’accord express de l’administrateur. Peu complexe à mettre en place, l’attaque ne nécessite aucun privilège particulier.

« L’exploitation réussie de cette vulnérabilité permettrait à un attaquant de contourner le mode protégé d’Office et de l’ouvrir en mode édition plutôt qu’en mode protégé », résume Microsoft sur son site web.

Pour exploiter cette faille critique, un cybercriminel pourrait déployer « un lien malveillant » capable de contourner le mode protégé d’Office. On imagine que ce lien pourrait être partagé par mail, dans le cadre d’une opération de phishing par exemple. En clair, il suffira que la cible clique sur le lien, glissé innocemment dans le courriel, ou qu’elle affiche dans le panneau de prévisualisation pour que la cyberattaque démarre.

« Un attaquant qui parviendrait à exploiter cette vulnérabilité pourrait acquérir des privilèges élevés, notamment en lecture, écriture et suppression », met en garde Microsoft.

Installez la dernière mise à jour d’Outlook

Fort heureusement, Microsoft a d’ores et déjà déployé un correctif pour protéger les utilisateurs le 14 février 2024. Pour vous protéger contre les pirates, il est recommandé d’installer la mise à jour dans les plus brefs délais. Selon Cybermalveillance.gouv.fr, « des cybercriminels pourraient très prochainement exploiter cette vulnérabilité ».