Skoči na vsebino

SI-CERT 2022-04 / Ranljivost Microsoft Exchange strežnika

Objavljeno: 30.9.2022
Zadnja sprememba: 23.11.2022

Povzetek

Dve ranljivosti Microsoft Exchange strežnika omogočata napadalcem izvedbo napada z zagonom poljubne kode, pri čemer je pogoj za uspešno izvedbo napada predhodna pridobitev pravic avtenticiranega uporabnika. Po podatkih Microsofta se veriga ranljivosti že izkorišča v omejenem številu ciljanih napadov. Uradnega popravka za ranljivost še ni na voljo. Koda za izrabo ranljivosti po trenutno znanih podatkih še ni na voljo v javnosti.

Opis

Vietnamsko podjetje GTSC, ki se ukvarja z informacijsko varnostjo, je dne 29.9.2022 v javnosti objavilo informacijo o zaznavi izrabe dosedaj neznane ranljivosti Microsoft Exchange strežnika. Posledica izrabe ranljivosti so se manifestirale v obliki različnih webshell skript, ki so jih napadalci namestili na zlorabljen sistem, in ki so jim omogočale oddaljen dostop do sistema. Zaradi podobnosti s ProxyShell ranljivostjo iz leta 2021 so se v javnosti pojavili dvomi, ali gre res za novo ranljivost ali zgolj za nov način izrabe stare, vendar pa je Microsoft že potrdil obstoj novih ranljivosti. CVE-2022-41040 (SSRF) omogoča avtenticiranemu uporabniku izrabo ranljivosti CVE-2022-41082 (RCE), če ima ta uporabnik omogočen remote PowerShell.

Ranljivi sistemi

Ranljivi so vsi on-premise Microsoft Exchange strežniki 2013, 2016 in 2019, ki imajo javno dostopen Outlook Web App (OWA) spletni vmesnik za elektronsko pošto.

Ukrepi

Microsoft je 8.11.2022 izdal popravke za odpravo ranljivosti. Priporočamo čimprejšnjo namestitev popravkov.

Administratorjem Exchange strežnikov svetujemo onemogočanje remote PowerShell storitve za običajne uporabnike (navodila).

Zaznavanje izrabe ranljivosti

Poskuse zlorabe ranljivosti se lahko preveri z analizo dnevniških datotek spletnega strežnika, npr. s spodnjim PowerShell ukazom:

Get-ChildItem -Recurse -Path $SystemDrive\inetpub\logs\LogFiles -Filter -Filter "*.log" | Select-String -Pattern 'powershell.*autodiscover\.json.*\@.*200'

Zaznane poskuse vdora sporočite na SI-CERT.

Zunanje povezave

Preberite tudi

SI-CERT 2023-02 / Zloraba dobavne verige: 3CX Electron DesktopApp

Povzetek Podjetje 3CX je izdalo varnostno opozorilo za aplikacijo 3CX Electron DesktopApp. Gre za programski telefon (softphone), katerega zlorabo so podrobneje raziskali in potrdili tudi pri podjetjih SentielOne in CrowdStrike. Gre …
Več

SI-CERT 2023-01 / Uhajanje NTLM poverilnic preko Outlook ranljivosti

Microsoft je zaznal aktivno izkoriščanje ranljivosti, ki napadalcu prek poštnega sporočila naslovljenega prejemniku, ki uporablja Outlook, omogoča krajo NTLM zgoščene vrednosti prejemnikovega gesla za prijavo v Windows
Več

SI-CERT 2022-07 / Ranljivost Citrix ADC in Citrix Gateway

Objavljeno: 14.12.2022 Povzetek Citrix Gateway in Citrix ADC (Application Delivery Controller) vsebujeta kritično ranljivost, ki neavtenticiranemu uporabniku omogoča oddaljeno zaganjanje poljubne kode. Uradni popravki so že na voljo. Ranljivost se …
Več