Kolejne zdalne wykonanie kodu w MS-Exchange
Po raz kolejny dwie poważne luki trafiły na serwer Exchange Microsoftu: Z poważnością 8.8 i 6.3 w Common Vulnerability Score System, wcześniej niezałatane luki (CVE-2022-41040 i CVE-2022-41082) stanowią zagrożenie dla wszystkich serwerów, które polegają na systemie pocztowym Microsoft.
Ponieważ są one obecnie również aktywnie wykorzystywane przez atakujących, administratorzy, których dotyczą, powinni upewnić się, że natychmiast wdrożyli obejście z Microsofts Blog, dopóki producent nie naprawi problemu. Luki zostały już odkryte pod koniec września przez firmę zajmującą się bezpieczeństwem GTSC, łatka od Microsoftu wciąż czeka na rozpatrzenie.
Dotyczy: Exchange 2013, 2016 i 2019
Problem dotyczy wszystkich lokalnych instalacji Microsoft Exchange Server w wersjach 2013, 2016 i 2019, w tym w pełni załatanych i dobrze utrzymanych serwerów. Luka nie dotyczy klientów i produktów grommunio.
Zgodnie z oświadczeniem dostawcy, luka (tutaj stale aktualizowany raport BSI) umożliwia “zdalne wykonanie kodu dla uwierzytelnionych kont”, tj. wykonanie dowolnego kodu za pośrednictwem kont użytkowników. Zalecane obejście zdecydowanie zaleca wszystkim lokalnym klientom Microsoftu wyłączenie zdalnego dostępu do Powershell (wiersza poleceń systemu Windows) dla nieuprzywilejowanych użytkowników. Jest to obecnie jedyny sposób, aby uniemożliwić atakującym nadużywanie tych kont i spowodowanie poważnych szkód na serwerze lub w sieci lokalnej.
Wstępne środki podjęte przez Microsoft są niewystarczające
Eksperci ds. bezpieczeństwa nadal badają problem i dzielą się swoimi odkryciami głównie na Twitterze. Powiązany hashtag to #proxynotshell, w nawiązaniu do innych incydentów bezpieczeństwa w Exchange z 2021 roku. Porada, którą BSI i Microsoft przyjęły, aby “zablokować” wszystkim nieuprzywilejowanym użytkownikom Powershell, również pojawiła się za pośrednictwem Twittera, po tym, jak środki zaradcze początkowo zaproponowane przez Microsoft weryfikowalnie nie doprowadziły do sukcesu.
Przetestuj grommunio](/demo/) na własnym serwerze za darmo.
Aktualizacja
12. Październik: Wbrew oczekiwaniom, Microsoft nie udostępnił łatki na lukę w najnowszym patchday (11 października). Po problematycznych obejściach i po tym, jak hakerzy już aktywnie wykorzystują luki, Microsoft musi teraz stawić czoła poważniejszym lukom w zabezpieczeniach systemów Windows, Hyper-V i Office. Post na blogu Microsoft’s Security Response Center](https://msrc-blog.microsoft.com/2022/09/29/customer-guidance-for-reported-zero-day-vulnerabilities-in-microsoft-exchange-server/) jest stale aktualizowany przez amerykańską firmę, ostatni wpis pochodzi z 9 października.
