خبرهای اخیر در مورد آسیب پذیری بحرانی CVE-2025-21298 در Microsoft Outlook ، نگرانیهای قابل توجهی را در جامعه امنیت سایبری ایجاد کرده است. این آسیب پذیری اجرای کد از راه دورِ (RCE) بدون کلیک (zero-click) که امتیاز CVSS 9.8 را دریافت کرده است، به مهاجمان اجازه میدهد تا کدهای مخرب را روی سیستمهای ویندوز به سادگی با ارسال یک ایمیل اجرا کنند.
قابل ذکر است که کاربران نیازی به تعامل با ایمیل برای اجرای اکسپلویت ندارند. صرفاً پیش نمایش یا باز کردن ایمیل میتواند حمله را فعال کند. CVE-2025-21298 در واقع یک آسیب پذیری بحرانی در سیستمعامل ویندوز میباشد که به مهاجمان امکان اجرای کد از راه دور را میدهد. این آسیب پذیری، ریشه در کامپوننت OLE (یا Object Linking and Embedding ) ویندوز دارد که ناشی از یک نقص Use After Free در این کامپوننت است که امکان اجرای کد مخرب از راه دور را بدون نیاز به تعامل مستقیم با کاربر فراهم میکند.
آسیب پذیری CVE-2025-21298 توسط یک متخصص امنیت سایبری به نام مت یوهانسن در X فاش گردید و در پست خود، شدت و تأثیر بالقوه این آسیب پذیری را برجسته کرد. اخیرا یک PoC در گیت هاب برای این آسیب پذیری شناسایی شده است. این PoC از نوع memory corruption یا تخریب حافظه میباشد.
به گفته یوهانسن، مهاجمان میتوانند از این آسیب پذیری به سادگی با ارسال یک فایل RTF ساخته شده از طریق ایمیل، سوء استفاده کنند که پس از پیش نمایش در Outlook، شرایط double-free یا آزادسازی مجدد حافظه را فراهم میآورد و منجر به اجرای کد دلخواه بدون هیچ گونه تعامل با کاربر میشود.
این بدان معناست که سیستم کاربر میتواند فقط با پیش نمایش یک ایمیل، هک شود و به مهاجمان اجازه دهد تا اقداماتی همچون نصب بدافزار، سرقت داده و یا افزایش سطح دسترسی در شبکه را دنبال کنند.
جزئیات آسیب پذیری CVE-2025-21298 و PoC آن
همانطور که اشاره شد، این آسیب پذیری ریشه در OLE ویندوز به ویژه در فایل ole32.dll دارد که مربوط به یک خطای آزادسازی مجدد (یا double-free ) در تابع UtOlePresStmToContentsStm است. این تابع مسئول پردازش آبجکت OLE تعبیه شده در فایلهای Rich Text Format (RTF) میباشد که یک ویژگی رایج در Microsoft Outlook است.
آزادسازی مجدد حافظه زمانی رخ میدهد که یک برنامه سعی میکند یک بلوک از حافظه را بیش از یک بار آزاد (free) کند و آنگاه میتواند منجر به تخریب حافظه شود.
این مشکل زمانی رخ میدهد که تابع UtOlePresStmToContentsStm در حین پاکسازی، پوینتر pstmContents را به درستی مدیریت نمیکند و همچنان به حافظه آزاد شده قبلی اشاره میکند.
چنانچه تابع UtReadOlePresStmHeader به درستی عمل نکند، کد پاکسازی به طور ناخواسته پوینتر حافظه را آزاد میکند و در نتیجه یک عملیات آزادسازی مجدد (یا double-free) حافظه انجام میشود.
این باگ، یک آسیب پذیری بسیار خطرناک است چرا که از طریق فایلهای RTF مخرب حاوی آبجکت OLE تعبیه شده که میتوانند در برنامههایی مانند Microsoft Word یا Outlook فعال شوند، قابل اکسپلویت است.
PoC کشف شده، پتانسیل اکسپلویت این آسیب پذیری را یادآوری میکند و بر ضرورت استفاده از پچهای منتشر شده توسط مایکروسافت در به روزرسانی Patch Tuesday ماه ژانویه ۲۰۲۵ تاکید میکند.
این پچ امنیتی، پوینتر pstmContents را پس از انتشار آن، روی NULL تنظیم میکند و از مشکل double-free یا آزادسازی مجدد جلوگیری به عمل میآورد. این اکسپلویت میتواند فراتر از فایلهای RTF به سایر فرمتهای پشتیبانی شده توسط OLE گسترش یابد.
آسیب پذیری CVE-2025-21298، طیف گستردهای از نسخههای ویندوز مایکروسافت، از ویندوز 10 تا ویندوز 11 و نسخههای سرور از سال 2008 تا آخرین نسخه یعنی 2025 را تحت تأثیر قرار میدهد.
سادگی نحوه اکسپلویت این آسیب پذیری که صرفاً به پیشنمایش یک ایمیل مخرب نیاز دارد، بر ضرورت اعمال فوری پچها و به روزرسانیها توسط کاربران و سازمانها تأکید دارد.
اقدامات امنیتی
یوهانسن توصیههایی را جهت مقابله با آسیب پذیری CVE-2025-21298 ارائه کرده است:
- پچ فوری: به کاربران توصیه میشود سیستم های ویندوز خود را با جدیدترین پچ امنیتی به روزرسانی کنند تا جلوی این آسیب پذیری گرفته شود.
- غیرفعال سازی پیش نمایشهای RTF: به کسانی که فوراً نمیتوانند پچ امنیتی را دریافت کنند، پیشنهاد میشود به عنوان یک راهکار موقت، پیش نمایش RTF در Outlook را غیرفعال کنند.
- بهبود امنیت ایمیل: استفاده از مکانیزمهای امنیتی تشخیص تهدید پیشرفته برای پیوستهای ایمیل میتواند یک لایه امنیتی اضافی را فراهم آورد.
به کاربران و سازمانها توصیه میشود اقدامات پیشنهادی را برای تأمین امنیت سیستمهای خود در برابر این آسیب پذیری و تهدیدات مشابه آتی دنبال کنند. کاربران برای کسب اطلاعات بیشتر، میتوانند به صفحه مت یوهانسن در X و وبسایت والنربایت مراجعه نمایند.