CVE-2025-21298 è una vulnerabilità critica presente in Windows OLE che consente l’esecuzione remota di codice, con un punteggio di gravità CVSS pari a 9.8. Object Linking and Embedding (OLE) è una tecnologia proprietaria sviluppata da Microsoft che permette di incorporare e collegare documenti e oggetti. Questa vulnerabilità può essere sfruttata da attaccanti attraverso email appositamente progettate inviate agli utenti di Microsoft Outlook.

La falla può essere attivata inviando un payload iniziale, ad esempio un documento RTF contenente codice malevolo incorporato. Semplicemente aprendo o visualizzando l’anteprima del documento malevolo si può attivare l’esecuzione di codice arbitrario sul sistema della vittima, portando al download di un payload che potrebbe garantire all’attaccante un controllo non autorizzato.

Questa vulnerabilità rappresenta una grave minaccia per le organizzazioni, poiché gli attaccanti in genere la sfruttano creando email di phishing che inducono le vittime a cliccare sull’allegato. Una volta aperto il documento malevolo, un comando PowerShell viene eseguito in background, scaricando un payload sul sistema della vittima che fornisce infine il controllo all’attaccante.

Raccomandazioni

Microsoft ha rilasciato un aggiornamento di sicurezza per risolvere questa vulnerabilità. Si raccomanda fortemente alle organizzazioni e agli utenti di installarlo il prima possibile per proteggersi da potenziali attacchi.

Per coloro che non possono installare l’aggiornamento immediatamente, Microsoft ha messo a disposizione una soluzione temporanea per aprire gli allegati in formato testo semplice, riducendo al minimo il rischio.

Soluzioni alternative

• Utilizzare Microsoft Outlook per ridurre il rischio che gli utenti aprano file RTF provenienti da fonti sconosciute o non attendibili.
• Leggere i messaggi email in formato testo semplice. Per istruzioni su come configurare Microsoft Outlook per leggere tutti i messaggi standard in formato testo semplice, fare riferimento alla guida ufficiale: Leggi i messaggi email in formato testo semplice.

Impatto delle soluzioni alternative

I messaggi email visualizzati in formato testo semplice non conterranno immagini, font specializzati, animazioni o altri contenuti avanzati. Poiché il messaggio è comunque salvato in formato RTF o HTML, il modello di oggetto (soluzioni con codice personalizzato) potrebbe comportarsi in modo imprevisto.

Riferimenti

CVE-2025-21298 - Guida agli aggiornamenti di sicurezza - Microsoft - Vulnerabilità di esecuzione remota del codice in Windows OLE

Se sei preoccupato per una delle minacce descritte in questo bollettino o hai bisogno di aiuto per determinare i passi da seguire per proteggere la tua organizzazione dalle minacce più rilevanti, contatta il tuo account manager o mettiti in contatto con noi per scoprire come possiamo aiutarti.