CVE-2021-26855

Podatność wynika z nieprawidłowej obsługi żądań HTTP przez komponent Exchange Server, który nie weryfikuje prawidłowo źródła przychodzących żądań (CWE-918 — SSRF). Atakujący może spreparować specjalne żądanie HTTP skierowane bezpośrednio do serwera Exchange bez konieczności uwierzytelnienia. W połączeniu z innymi podatnościami (np. arbitralny zapis pliku) możliwe jest uzyskanie pełnego wykonania kodu na serwerze. Referencje wskazują na techniki obejmujące m.in. nieuwierzytelnione pobieranie poczty oraz zapis dowolnych plików na serwerze.

Nieuwierzytelniony atakujący zdalnie może przejąć pełną kontrolę nad serwerem Microsoft Exchange, co skutkuje naruszeniem poufności i integralności danych (w tym skrzynek pocztowych oraz poświadczeń).

Należy niezwłocznie zastosować patche dostępne u producenta zgodnie z poradnikiem bezpieczeństwa Microsoft (https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2021-26855). Ze względu na aktywne wykorzystywanie podatności w atakach aktualizacja powinna być wdrożona natychmiast.

Microsoft Exchange Server — wersje wskazane w referencjach producenta (portal.msrc.microsoft.com)

Podatność znana pod nazwą ProxyLogon — nazwa ta pochodzi z publicznych referencji (Packet Storm Security) wskazanych w opisie CVE. Dostępne są publicznie exploity, w tym narzędzie do zbierania danych (ProxyLogon Collector) oraz exploity umożliwiające RCE i nieuwierzytelniony dostęp do poczty.

CISA KEV — szczegółyi

Dostawcai

Microsoft ↗

Produkti

Exchange Server

Data dodania do KEVi

3 listopada 2021

Termin remediation (USA)i

3 maja 2022(po terminie)

Ransomwarei

Aktywne kampanie ransomware używają tej podatności