微軟 Exchange Server 再出現 ProxyShell 漏洞 且已有掃瞄活動

在年初的ProxyLogon後,上周Black Hat安全大會上研究人員公佈Exchange Server ProxyShell漏洞,很快地網路上就出現針對這批漏洞的掃瞄活動。

在年初的 ProxyLogon 後,上周 Black Hat 安全大會上研究人員公佈 Exchange Server ProxyShell 漏洞,很快地網路上就出現針對這批漏洞的掃瞄活動。研究人員相信,可能高達 40 萬台 Exchange Server 都曝險,呼籲應儘速安裝 Exchange Server 更新版。

ProxyShell 是台灣資安業者戴夫寇爾研究人員蔡政達在上周 Black Hat 大會上公佈 Exchange Server 最新三個漏洞的總稱。

ProxyShell 三個漏洞包括:

  • CVE-2021-34473 – 為驗證前路徑混淆 (pre-auth path confusion) 導致存取控制表繞過 (ACL Bypass)(四月已修補)
  • CVE-2021-34523 – PowerShell 後端的權限升級 (Elevation of Privilege) 漏洞(四月已修補)
  • CVE-2021-31207 – 驗證後任意檔案寫入導致遠端程式碼執行(五月已修補)。

ProxyShell 攻擊對象之一是 Exchange 上的 Autodiscover 服務。Autodiscover 服務最初是作為郵件用戶端自主組態之用。這三個漏洞的串聯讓攻擊者遠端開採跑在 port 443 上的 IIS 的 Exchange Client Access Service (CAS)。PowerShell 攻擊的結果,讓未經授權的攻擊者在 Exchange Server 系統上執行任意程式碼。戴夫寇爾四月間也因此這項發現在 Pwn2Own 駭客大賽中獲得 20 萬獎金。

上周在蔡政達示範 ProxyShell 漏洞後,另二名安全研究人員 PeterJson 和 Jang 則發表一篇論文,說明可以如何成功複製 ProxyShell 攻擊。

本周另一名安全研究人員 Kevin Beaumont 也指出,一名攻擊者正在掃瞄他的 Microsoft Exchange Server 誘捕系統,攻擊目標在 Autodiscover 服務。雖然早期攻擊不成功,但隨著漏洞細節釋出更多,周末攻擊者已經修改掃瞄行動,利用蔡政達公佈的 Autodiscover URL,而利用這 URL,攻擊者似乎也成功偵測到一個有漏洞的 Exchange Server 系統。

研究人員 Jang 指出,存取這個 URL 會導致 ASP.NET worker process (w3wp.exe) 組譯一個 Web app。

既然疑似初步成功,成功的攻擊也只是遲早問題。由於攻擊者正積極掃瞄有漏洞的微軟 Exchange Server,Beaumont 建議管理員利用安全事件管理平台 Azure Sentinel 來檢查 IIS log,看是否系統有/autodiscover/autodiscover.json 或/mapi/nspi/字串。如果有的話,表示攻擊者已經掃過貴公司 Exchange Server 了。

安全廠商也強烈建議 Exchange Server 管理員儘速安裝微軟最新累積更新,以便能阻絕攻擊風險。Beaumont 指出,目前網路上大約還有 50% 曝險的 Exchange Server 機器還未修補。蔡政達更直言,網路上 40 萬台 Exchange Server 都對 ProxyShell 曝險。

來源:Bleeping Computer

關於我們

自 1990 年創刊 UXmaster 雜誌,1991 年獲得美國 LAN Magazine 獨家授權中文版,2006 年獲得 CMP Network Computing 授權,2009 年合併 CMP Network Magazine 獨家授權中文版,2014 年轉型為《網路資訊》雜誌網站,為台灣中小企業協助技術領導者落實企業策略,了解網路規劃及應用,為企業網路應用、管理、MIS、IT 人員必備之專業雜誌網站。


與我們聯絡

加入《網路資訊》雜誌社群

© Copyright 2022 本站版權所有,禁止任意轉載 網路資訊雜誌 / 心動傳媒股份有限公司 聯絡電話:+886 2 29432416