Outlook: risolto bug degli avvisi di sicurezza di dicembre

Microsoft ha risolto un problema che attivava avvisi di sicurezza errati di Outlook all'apertura di file di calendario .ICS. Ciò avveniva dopo l'installazione degli aggiornamenti di sicurezza di Outlook Desktop di dicembre 2023. Gli aggiornamenti di sicurezza del Patch Tuesday di dicembre dietro questi avvisi imprecisi correggono la vulnerabilità CVE-2023-35636 di divulgazione di informazioni di Microsoft Outlook. Tale bug consentiva agli aggressori di rubare hash NTLM tramite file dannosi. Queste credenziali venivano poi utilizzate per autenticarsi come utente Windows compromesso negli attacchi pass-the-hash, per ottenere l'accesso a dati sensibili o diffondersi lateralmente sulla propria rete. Gli utenti di Microsoft 365 interessati da questo problema visualizzavano finestre di dialogo che avvisano che “Microsoft Office ha identificato un potenziale problema di sicurezza”. Inoltre, quando cliccavano sui file ICS salvati localmente, veniva visualizzata la notifica: “Questa posizione potrebbe non essere sicura”.

Outlook: come risolvere temporaneamente il bug degli avvisi di sicurezza

A febbraio, il team di Outlook aveva riconosciuto il problema. In un post aveva poi affermato che: “questo comportamento non è previsto quando si aprono file .ICS. Si tratta di un bug e verrà risolto in un aggiornamento futuro”. Microsoft ha finalmente trovato una soluzione per questo problema. La correzione è in roll-out con Outlook per Microsoft 365 versione 2404 build 17531.20000 nel canale beta. Gli utenti interessati (naturalmente dei canali Office Insider) potrebbero ricevere una la patch entro 30 aprile. In seguito, verrà effettuato il backport alla versione 2402 per il Semi-Annual Enterprise Channel (anteprima) durante il Patch Tuesday di giugno 2024. Fino ad allora, coloro che riscontrano il problema possono utilizzare una chiave di registro per disattivare temporaneamente le notifiche di sicurezza errate. Tuttavia, una volta implementata questa soluzione, gli utenti non riceveranno più richieste di sicurezza per tutti gli altri tipi di file potenzialmente pericolosi.

Per applicare la soluzione alternativa, è necessario aggiungere una nuova chiave DWORD con un valore pari a "1" a: HKEY_CURRENT_USER\software\policies\microsoft\office\16.0\common\security (Group Policy registry path) e Computer\HKEY_CURRENT_USER\Software\Microsoft\Office\16.0\Common\Security (OCT registry path). Gli utenti di Outlook interessati possono anche disattivare le finestre di dialogo di avviso. Basterà seguire le istruzioni nel documento di supporto “Attiva o disattiva i messaggi di avviso dei collegamenti ipertestuali nei programmi di Office”. L’azienda di Redmond ha risolto un altro problema noto di Outlook il mese scorso. Ciò causava l'interruzione della sincronizzazione di alcuni client desktop Outlook con i server di posta elettronica tramite Exchange ActiveSync. Infine, a febbraio l'azienda ha infine risolto un bug che causava problemi di connessione di Outlook.com sui client di posta elettronica desktop e mobili.