Phát hiện lỗ hổng nghiêm trọng trong Microsoft Outlook có thể lây lan mã độc

Microsoft vừa chính thức lên tiếng cảnh báo người dùng về sự tồn tại của một lỗ hổng có thể cho phép tin tặc dễ dàng phát tán phần mềm độc hại thông qua ứng dụng email Outlook. Công ty đồng thời đã phát hành bản vá cho lỗ hổng user-after-free này (hiện được theo dõi với mã định danh CVE-2025-21298), và kêu gọi người dùng áp dụng ngay lập tức.

Lộ hổng CVE-2025-21298 được đánh giá trên thang điểm 9.8 - nghiêm trọng - với hành vi sử dụng bộ nhớ đã giải phóng và làm hỏng dữ liệu hợp lệ, hoặc phân phối phần mềm độc hại từ xa. Lỗi này nằm trong chức năng Liên kết và Nhúng đối tượng (Object Linking and Embedding - OLED) của Windows, cho phép người dùng nhúng và liên kết đến các tài liệu và đối tượng khác, chẳng hạn như thêm biểu đồ Excel vào tài liệu Word. Lỗ hổng cũng đặc biệt nguy hiểm vì nó khiến người dùng có thể bị lây nhiễm mã độc khi xem trước email được tạo đặc biệt.

Microsoft cho biết trong cảnh báo bảo mật: "Quá trình khai thác lỗ hổng có thể xảy ra nạn nhân mở một email được thiết kế đặc biệt bằng phiên bản phần mềm Microsoft Outlook bị ảnh hưởng, hoặc ứng dụng Outlook của nạn nhân hiển thị bản xem trước của một email được thiết kế đặc biệt. Điều này có thể dẫn đến việc kẻ tấn công thực thi mã từ xa trên máy của nạn nhân”.

Nếu bạn không thể áp dụng bản vá tại thời điểm này, Microsoft khuyến khích bạn áp dụng các mẹo như xem email của mình trong các mạng LAN lớn dưới dạng văn bản thuần túy, và tắt hoặc hạn chế hoàn toàn lưu lượng NTLM.

Điều gì xảy ra khi bạn xem email của mình ở dạng văn bản thuần túy? Về cơ bản, tất cả hoạt ảnh, hình ảnh và phông chữ khác nhau đều bị xóa. Email của bạn sẽ không trông không được bắt mắt khi ở dạng văn bản thuần túy, nhưng là cần thiết để tránh gián đoạn công việc trong khi chờ cập nhật lên phiên bản Outlook mới