Outlook chặn việc mở siêu kết nối địa chỉ FQDN và IP sau khi cài đặt bảo vệ cho Lỗ hổng bỏ qua Máy chủ Tính năng Bảo mật của Microsoft Outlook được phát hành vào ngày 11 tháng 7 năm 2023

Cập nhật gần nhất: 11/12/2023

SỰ CỐ

Khi bạn bấm vào các nối kết trong email trong Outlook trên Máy tính để bàn, nơi đường dẫn đến một tên miền đầy đủ tiêu chuẩn (FQDN) hoặc địa chỉ IP, bạn có thể thấy những điều sau đây:

• Hộp thoại cảnh báo Outlook với lỗi "Đã xảy ra sự cố ngoài dự kiến với URL này"

  

• Sự cố im lặng đối với tệp không đáng tin cậy.

Khi bạn mở các liên kết trong email trong Outlook trên Máy tính để bàn, nơi đường dẫn đến FQDN hoặc địa chỉ IP hoặc đường dẫn tên máy chủ, bạn sẽ thấy hộp thoại này. Điều này cũng được mong đợi. 

Nếu bạn cần tắt hộp thoại này, hãy làm theo các hướng dẫn trong bài viết Bật hoặc tắt thông báo cảnh báo siêu kết nối trong các chương trình Office.

HKEY_CURRENT_USER\software\policies\microsoft\office\16.0\common\security DWORD: DisableHyperlinkWarning
Giá trị: 1

Sự cố này xảy ra sau khi cài đặt bản cập nhật bảo mật ngày 11 tháng 7 của Outlook dành cho Máy tính để bàn. Để biết thêm thông tin, hãy xem các CVEs tương ứng dưới đây.

MSRC CVE-2023-33151: Lỗ hổng Giả mạo của Microsoft Outlook

MSRC CVE-2023-35311: Lỗ hổng bỏ qua Tính năng Bảo mật của Microsoft Outlook 

Thông 5002427 KB: Mô tả về bản cập nhật bảo mật dành cho Outlook 2016: ngày 11 tháng 7 năm 2023 (KB5002427)

Thông 5002432 KB: Mô tả về bản cập nhật bảo mật cho Outlook 2013: ngày 11 tháng 7 năm 2023 (KB5002432) 

TRẠNG THÁI: GIẢI PHÁP

Để đảm bảo tiếp tục truy cập vào các tệp trên đường dẫn FQDN hoặc địa chỉ IP, hãy thêm các URL đó vào vùng Site tin cậy theo hướng dẫn của Windows, trang web Mạng nội bộ được xác định là một trang web Internet khi bạn sử dụng FQDN hoặc địa chỉ IP.

1. Chuyển đến Cài đặt Windows.

2. Tìm kiếm và mở Tùy chọn Internet.

3. Bấm vào tab Bảo mật, rồi chọn Site tin cậy.

4. Thêm đường dẫn URL, UNC, FQDN mà bạn muốn cho phép "Thêm trang web này vào vùng".
   Ví dụ: thêm tài file://server.usa.corp.com
   
   

   Lưu ý: Nếu mục nhập bạn muốn thêm không bắt đầu rõ ràng bằng 'https:', trước tiên bạn phải bỏ chọn hộp kiểm 'Yêu cầu xác minh máy chủ (https) cho tất cả các trang web trong vùng này' trước khi có thể lưu.

5. Giải pháp thay thế này cũng có thể được triển khai thông qua chính sách nhóm.

GPO: Cấu hình Người dùng 

Chính sách: \\Windows Components\Internet Explorer\Internet Panel điều khiển\Security Page\Site to Zone Assignment List

Lưu ý: Cú pháp thêm URL cho tệp trên FQDN hoặc đường dẫn địa chỉ IP vào GPO khác với thêm thủ công URL tệp vào Tùy chọn Internet | Bảo mật | Site Tin cậy. Bạn cần thêm ba dấu sổ chéo /// trước dấu \\<sổ chéo>.

Ví dụ:

• Thêm \\10.123.452.37 theo cách thủ công vào danh file://10.123.452.37 Site Tin cậy, điều này cho phép không chặn nối kết tệp.

• Nhưng đối với GPO, bạn cần sử dụng cú pháp sau: file:///\\10.123.452.37.
  Thao tác này cũng file://10.123.452.37 vào danh sách Site tin cậy và cho phép không chặn nối kết tệp.

Khi bạn triển khai bởi GPO nếu bạn có các URL không bắt đầu bằng https, bạn có thể cần cấu hình thiết đặt để bỏ chọn hộp Yêu cầu xác minh máy chủ (https) cho tất cả các site trong vùng này.

Để đặt cấu hình GPO và không phải đi qua từng máy khách một để bỏ chọn hộp kiểm, các phím này có thể được sử dụng:
HKU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2\Flags: 0x00000143(323)

Hộp kiểm được chọn:
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2]
"Flags"=dword:00000047

Đã bỏ chọn hộp kiểm:
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2]
"Flags"=dword:00000043

Để thêm các chia sẻ tệp trong sổ đăng ký bởi GPO, hãy cân nhắc những điều sau đây:

Nếu đó là miền

Đối với ví dụ về Contoso ở trên, nó được đặt trong sổ đăng ký ở đây:
Computer\HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\contoso.com

Nếu đó là một địa chỉ IP, nó được đặt trong sổ đăng ký ở đây:
Computer\HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Ranges\Range1

Và đối với mỗi chia sẻ địa chỉ IP, cần phải tạo một phím Dải mới trong Phạm vi.