"Outlook" blokuoja FQDN ir IP adresų hipersaitų atidarymą įdiegus "Microsoft Outlook" saugos funkcijos apėjimo pažeidžiamumo apsaugą, išleistą 2023 m. liepos 11 d.

Paskutinį kartą atnaujinta: 2023 m. gruodžio 11 d.

PROBLEMA

Spustelėjus saitus el. laiškuose "Outlook" darbalaukio programoje, kur kelias yra visiškai apibrėžtas domeno vardas (FQDN) arba IP adresas, galite matyti:

• "Outlook" įspėjimo dialogo langas su klaida "Įvyko nežinoma klaida su šiuo URL"

  

• Nepatikimo failo tyli triktis.

Kai atidarote saitus el. laiškuose naudodami "Outlook" darbalaukį, kur kelias yra arba FQDN, arba IP adreso arba pagrindinio kompiuterio vardo kelias, matysite šį dialogo langą. Taip pat tikimasi. 

Jei norite išjungti šį dialogo langą, vadovaukitės instrukcijomis, pateiktomis straipsnyje Hipersaito įspėjimų pranešimų įjungimas arba išjungimas "Office" programose.

HKEY_CURRENT_USER\software\policies\microsoft\office\16.0\common\security DWORD: DisableHyperlinkWarning
Reikšmė: 1

Ši problema kyla įdiegus "Outlook" darbalaukio liepos 11 d. saugos naujinimus. Papildomos informacijos žr. toliau pateikiamuose atitinkamuose CVE.

MSRC CVE-2023-33151: "Microsoft Outlook" apsimetimo kitu spoofing pažeidžiamumas

MSRC CVE-2023-35311: "Microsoft Outlook" saugos funkcijos apėjimo pažeidžiamumas 

KB 5002427: Outlook 2016 saugos naujinimo aprašas: 2023 m. liepos 11 d. (KB5002427)

KB 5002432: "Outlook 2013" saugos naujinimo aprašas: 2023 m. liepos 11 d. (KB5002432) 

BŪSENA: SPRENDIMAS

Siekiant užtikrinti nuolatinę prieigą prie FQDN arba IP adresų keliuose esančių failų, jie pagal "Windows" nurodymus įtraukiami į patikimų svetainių zoną, intraneto svetainė identifikuojama kaip interneto svetainė, kai naudojate FQDN arba IP adresą.

1. Eikite į "Windows" parametrai.

2. Ieškokite ir atidarykite Interneto parinktys.

3. Spustelėkite skirtuką Sauga , tada pasirinkite Patikimos svetainės.

4. Įtraukite URL, UNC, FQDN kelią, kurį norite leisti "Įtraukti šią svetainę į zoną".
   Pavyzdžiui, įtraukite file://server.usa.corp.com
   
   

   Pastaba: Jei įrašas, kurį norite įtraukti, nėra aiškiai pradedamas https:, prieš įrašant pirmiausia reikia atžymėti žymės langelį "Reikalauti visų šioje zonoje esančių svetainių serverio patvirtinimo (https)".

5. Šį sprendimo būdą taip pat galima įdiegti naudojant grupės strategiją.

GPO: vartotojo konfigūracija 

Strategija: \\Windows Components\Internet Explorer\Internet valdymo skydas\Security Page\Site to Zone Assignment List

Pastaba: failų, esančių FQDN arba IP adresų keliuose, įtraukimo į GPO sintaksė skiriasi nuo neautomatinio failo URL įtraukimo į interneto parinktis | Sauga | Patikimos svetainės. Prieš \\<ipaddress> turite pridėti tris pasviruosius brūkšnius ///.

Pavyzdžiui:

• Rankiniu būdu įtraukiant \\10.123.452.37, file://10.123.452.37 į patikimų svetainių sąrašą, failo saitas nebus blokuojamas.

• Tačiau GPO turite naudoti šią sintaksę: file:///\\10.123.452.37.
  Tai taip pat įveda file://10.123.452.37 į patikimų svetainių sąrašą ir leidžia neblokuoti failo saito.

Kai diegiate GPO, jei turite URL, kurie nepradės https, gali tekti sukonfigūruoti parametrą, kad būtų atžymėtas žymės langelis Reikalauti visų šioje zonoje esančių svetainių serverio patvirtinimo (https).

Norint konfigūruoti GPO ir nereikia eiti per visus klientus po vieną, kad panaikintumėte žymės langelio žymėjimą, šiuos raktus galima naudoti:
HKU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2\Flags: 0x00000143(323)

Žymės langelis pažymėtas:
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2]
"Flags"=dword:00000047

Žymės langelis nepažymėtas:
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2]
"Flags"=dword:00000043

Norėdami įtraukti failų bendrinimus registre gpo, apsvarstykite šiuos dalykus:

Jei tai domenas

Anksčiau pateiktame "Contoso" pavyzdyje jis nustatomas registre čia:
Computer\HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\contoso.com

Jei tai IP adresas, jis nustatomas registre čia:
Computer\HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Ranges\Range1

Be to, kiekvienam IP adresui būtina sukurti naują diapazono raktą dalyje Diapazonai.