Outlook blocks opening FQDN and IP address hyperlinks after installing protections for Microsoft Outlook Security Feature Bypass Vulnerability released 11 юли 2023

Последна актуализация: 11 декември 2023 г.

ПРОБЛЕМ

Когато щракнете върху връзки в имейли в настолната версия на Outlook, където пътят е до потребителски домейн в пълен вид (FQDN) или IP адрес, може да видите следното:

• Диалогов прозорец с предупреждение на Outlook с грешка "Възникна неочакван проблем с този URL адрес"

  

• Тиха грешка за ненадеждния файл.

Когато отворите връзки в имейли в настолната версия на Outlook, където пътят е до FQDN, IP адрес или път към име на хост, ще видите този диалогов прозорец. Това също се очаква. 

Ако трябва да забраните този диалогов прозорец, следвайте инструкциите в статията Разрешаване или забраняване на предупредителни съобщения за хипервръзки в програмите на Office.

HKEY_CURRENT_USER\software\policies\microsoft\office\16.0\common\security DWORD: DisableHyperlinkWarning
Стойност: 1

Този проблем възниква след инсталирането на настолната версия на Outlook, актуализации на защитата от 11 юли. За допълнителна информация вижте съответните CVES по-долу.

MSRC CVE-2023-33151: Уязвимост при неправомерна проверка на microsoft Outlook

MSRC CVE-2023-35311: Уязвимост при заобикаляне на функции за защита на Microsoft Outlook 

KB 5002427: Описание на актуализацията на защитата за Outlook 2016: 11 юли 2023 г. (KB5002427)

KB 5002432: Описание на актуализацията на защитата за Outlook 2013: 11 юли 2023 (KB5002432) 

СЪСТОЯНИЕ: РАЗДЕЛИТЕЛНА СПОСОБНОСТ

За да се осигури непрекъснат достъп до файлове в пътища за FQDN или IP адреси, добавете тези URL адреси към зоната за надеждни сайтове в съответствие с указанията на Windows, интранет сайтът се идентифицира като интернет сайт, когато използвате FQDN или IP адрес.

1. Отидете в Настройки на Windows.

2. Потърсете и отворете Опции за интернет.

3. Щракнете върху раздела Защита , след което изберете Надеждни сайтове.

4. Добавете URL адрес, UNC, FQDN път, който искате да разрешите на "Добавяне на този уеб сайт към зоната".
   Например добавете file://server.usa.corp.com
   
   

   Забележка: Ако записът, който искате да добавите, не започва изрично с "https:", трябва първо да махнете отметката от квадратчето "Изисквай проверка на сървъра (https) за всички сайтове в тази зона", преди да може да бъде записан.

5. Това заобиколно решение може да се разположи и чрез групови правила.

GPO: Конфигурация на потребител 

Правила: \\Компоненти на Windows\Internet Explorer\Internet Контролен панел\Security Page\Site to Zone Assignment List

Забележка: Синтаксисът за добавяне на URL адрес за файлове в пътища за FQDN или IP адрес към GPO е различен от ръчното добавяне на URL адрес на файл към "Опции за интернет" | | за защита Надеждни сайтове. Трябва да добавите три наклонени черти /// пред> \\<ipaddress.

Например:

• Ръчното добавяне на \\10.123.452.37 влиза file://10.123.452.37 в списъка с надеждни сайтове, което позволява връзката към файла да не бъде блокирана.

• Но за GPO трябва да използвате следния синтаксис: file:///\\10.123.452.37.
  Това също така влиза file://10.123.452.37 в списъка с надеждни сайтове и позволява връзката към файла да не бъде блокирана.

Когато разполагате от GPO, ако имате URL адреси, които не започват с https, може да се наложи да конфигурирате настройката, за да премахнете отметката от квадратчето за Изисквай проверка на сървъра (https) за всички сайтове в тази зона.

За да конфигурирате GPO и да не се налага да минавате през всички клиенти един по един, за да премахнете отметката от квадратчето, тези ключове могат да се използват:
HKU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2\Flags: 0x00000143(323)

Отметнато квадратче за отметка:
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2]
"Flags"=dword:00000047

Неотметнато квадратче за отметка:
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2]
"Flags"=dword:00000043

За да добавите файлови дялове в системния регистър от GPO, имайте предвид следното:

Ако това е домейн

За примера с Contoso по-горе той е зададен в системния регистър тук:
Computer\HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\contoso.com

Ако това е IP адрес, той е зададен в системния регистър тук:
Computer\HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Ranges\Range1

А за всяко споделяне на IP адрес е необходимо да създадете нов ключ за диапазон под "Диапазони".