Outlook blokerer åbning af links til FQDN- og IP-adresser efter installation af beskyttelser for Microsoft Outlook Security Feature Bypass Vulnerability frigivet d. 11. juli 2023

Senest opdateret: 11. december 2023

PROBLEM

Når du klikker på links i mails i Skrivebordsversionen af Outlook, hvor stien er til et fuldt domænenavn (FQDN) eller EN IP-adresse, får du muligvis vist følgende:

• En Outlook-advarselsdialogboks med fejlen "Der opstod en uventet fejl med denne URL-adresse"

  

• Uovervåget fejl for den fil, der ikke er tillid til.

Når du åbner links i mails i Skrivebordsversionen af Outlook, hvor stien er til enten FQDN eller IP-adresse eller værtsnavnsti, får du vist denne dialogboks. Dette forventes også. 

Hvis du har brug for at deaktivere denne dialogboks, skal du følge instruktionerne i artiklen Aktivere eller deaktivere linkadvarsler i Office-programmer.

HKEY_CURRENT_USER\software\policies\microsoft\office\16.0\common\security DWORD: DisableHyperlinkWarning
Værdi: 1

Dette problem opstår, når du har installeret sikkerhedsopdateringerne til Outlook Desktop d. 11. juli. Du kan finde flere oplysninger i de respektive cv'er nedenfor.

MSRC CVE-2023-33151: Microsoft Outlook Spoofing-sårbarhed

MSRC CVE-2023-35311: Microsoft Outlook Security Feature Bypass Vulnerability 

KB 5002427: Beskrivelse af sikkerhedsopdateringen til Outlook 2016: 11. juli 2023 (KB5002427)

KB 5002432: Beskrivelse af sikkerhedsopdateringen til Outlook 2013: 11. juli 2023 (KB5002432) 

STATUS: LØSNING

For at sikre fortsat adgang til filer på FQDN- eller IP-adressestier føjer disse URL-adresser til zonen Websteder, du har tillid til, i overensstemmelse med Windows-vejledningen, identificeres intranetwebstedet som et websted, når du bruger et FQDN eller en IP-adresse.

1. Gå til Windows-indstillinger.

2. Søg efter og åbn Internetindstillinger.

3. Klik på fanen Sikkerhed , og vælg derefter Websteder, du har tillid til.

4. Tilføj den URL-, UNC-, FQDN-sti, du vil tillade, for at "Føje dette websted til zonen".
   Tilføj f.eks. file://server.usa.corp.com
   
   

   Bemærk!: Hvis den post, du vil tilføje, ikke eksplicit starter med "https:", skal du først fjerne markeringen i afkrydsningsfeltet "Kræv servergodkendelse (https) for alle websteder i denne zone", før det kan gemmes.

5. Denne løsning kan også installeres via gruppepolitik.

GPO: Brugerkonfiguration 

Politik: \\Windows Components\Internet Explorer\Internet Kontrolpanel\Security Page\Site to Zone Assignment List

Bemærk! Syntaksen for at føje en URL-adresse til filer på FQDN- eller IP-adressestier til et gruppepolitikobjekt er anderledes end manuelt at føje en url-adresse til internetindstillinger | Sikkerhed | Websteder, du har tillid til. Du skal tilføje tre skråstreger /// foran \\<ipaddress>.

Det kunne f.eks. være:

• Hvis du manuelt tilføjer \\10.123.452.37, indtastes file://10.123.452.37 på listen Websteder, du har tillid til. Dette gør det muligt ikke at blokere fillinket.

• Men til gruppepolitikobjekt skal du bruge følgende syntaks: file:///\\10.123.452.37.
  Dette angiver også file://10.123.452.37 på listen Websteder, du har tillid til, og tillader, at fillinket ikke blokeres.

Når du installerer via gruppepolitikobjekt, hvis du har URL-adresser, der ikke starter med https, skal du muligvis konfigurere indstillingen til at fjerne markeringen i afkrydsningsfeltet Kræv servergodkendelse (https) for alle websteder i denne zone.

Hvis du vil konfigurere gruppepolitikobjekt og ikke skal gennemgå alle klienter én ad gangen for at fjerne markeringen i afkrydsningsfeltet, kan disse taster bruges:
HKU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2\Flags: 0x00000143(323)

Afkrydsningsfelt markeret:
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2]
"Flags"=dword:00000047

Afkrydsningsfeltet er ikke markeret:
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2]
"Flags"=dword:00000043

Hvis du vil tilføje filshares i registreringsdatabasen af GPO, skal du overveje følgende:

Hvis det er et domæne

For Eksemplet contoso ovenfor er det angivet i registreringsdatabasen her:
Computer\HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\contoso.com

Hvis det er en IP-adresse, er den angivet i registreringsdatabasen her:
Computer\HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Ranges\Range1

Og for hver IP-adresseshare er det nødvendigt at oprette en ny Range-nøgle under Intervaller.