Les détails techniques de 3 vulnérabilités critiques affectant Microsoft Exchange ont été divulgués durant l’édition 2021 de la BlackHat par le chercheur Orange Tsai.
La publication des détails techniques au sein d’un article de blog a permis la création de codes d’exploitation publiques, facilitant l’exploitation de ces vulnérabilités.
La première vulnérabilité, référencée CVE-2021-34473, provenait d’une mauvaise gestion des requêtes au sein de la fonction EwsAutodiscoverProxyRequestHandler. Un attaquant distant connaissant une adresse email valide était en mesure de provoquer l’envoi de requêtes à la place du serveur (SSRF) et ainsi d’accéder à des URLs internes avec le compte NT AUTHORITYSYSTEM.
La seconde faille de sécurité, référencée CVE-2021-34523, provenait d’une erreur au sein de la fonction RemotePowershellBackendCmdletProxyModule. À l’aide d’une requête spécifiquement conçue, un attaquant pouvait usurper l’identité de l’administrateur Exchange et ainsi réaliser une élévation de privilèges.
Enfin, la vulnérabilité référencée CVE-2021-31207 provenait d’un manque de vérification des entrées utilisateurs au sein de la fonction New-MailboxExportRequest. Un attaquant authentifié était en mesure d’exploiter cette vulnérabilité afin de prendre le contrôle du système.
Ces vulnérabilités sont exploitables directement depuis l’interface OWA (Outlook Web App) et nécessitent seulement à un attaquant de connaître une adresse email légitime de l’organisation ciblée.
L’exploitation chainée de ces 3 vulnérabilités permettait ainsi à un attaquant distant de contourner le mécanisme d’authentification, d’élever ses privilèges et d’exécuter des commandes arbitraires sur le serveur.
Suite à la publication de codes d’exploitation, un module Metasploit ainsi qu’un template Nuclei ont été développés, rendant l’exploitation chainée de ces 3 vulnérabilités triviale.
De plus, des tentatives d’exploitation ont été observées sur Internet. Durant sa présentation, Orange Tsai a annoncé qu’une simple recherche Shodan permettrait d’obtenir une liste de plus de 30 000 serveurs vulnérables. l’ISC SANS a effectué un scan d’Internet et a obtenu les mêmes résultats.
Les versions suivantes de Microsoft Exchange sont impactées :
- Microsoft Exchange Server 2013 Cumulative Update 23 (KB5004778)
- Microsoft Exchange Server 2016 Cumulative Update 19 (KB5001779)
- Microsoft Exchange Server 2016 Cumulative Update 20 (KB5004779)
- Microsoft Exchange Server 2016 Cumulative Update 21 (KB5004779)
- Microsoft Exchange Server 2019 Cumulative Update 10 (KB5004780)
- Microsoft Exchange Server 2019 Cumulative Update 8 (KB5001779)
- Microsoft Exchange Server 2019 Cumulative Update 9 (KB5004780)
Ces vulnérabilités ont été corrigées lors du correctif cumulatif du mois de juillet, publié par Microsoft lors de leur processus de mise à jour habituel.
Le CERT-XMCO recommande ainsi l’application immédiate de ces correctifs. Si ces correctifs ne sont pas applicables, il est recommandé de désactiver l’accès public à l’interface en mettant en place un mécanisme de filtrage d’accès réseau.
Références
https://threatpost.com/exchange-servers-attack-proxyshell/168661/
https://www.cert.ssi.gouv.fr/actualite/CERTFR-2021-ACT-035/
Découvrir d'autres articles
-
Cyber Threat IntelligenceRetour sur les opérations hacktivistes ciblant la France en marge du conflit israélo-palestinien
Lire l'article -
Actualités et veille en cybersécuritéExploitation d’une vulnérabilité dans WinRAR lors de campagnes de phishing
Lire l'article -
Actualités et veille en cybersécurité10 erreurs de configuration réseau à ne pas commettre selon la NSA et le CISA
Lire l'article