CVE-2021-34473

Podatność (CWE-918) polega na tym, że atakujący może zmanipulować żądania HTTP kierowane do serwera Exchange w taki sposób, że serwer wykonuje żądania do wewnętrznych zasobów w kontekście uprzywilejowanym, bez konieczności uwierzytelnienia. Mechanizm ten pozwala na obejście kontroli dostępu i dostanie się do komponentów backendu niedostępnych normalnie z zewnątrz. W połączeniu z innymi podatnościami (ProxyShell) umożliwia pełne zdalne wykonanie kodu na serwerze.

Nieuwierzytelniony atakujący zdalny może uzyskać pełną kontrolę nad serwerem Exchange, w tym możliwość odczytu i modyfikacji danych oraz wykonania dowolnego kodu (RCE). Potencjalnie umożliwia to dalszy lateral movement w infrastrukturze ofiary.

Należy zastosować patche dostępne u producenta zgodnie z referencjami — aktualizacje opublikowane przez Microsoft 13 lipca 2021 r. dostępne w portalu Microsoft Security Response Center (https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2021-34473). Zalecane jest niezwłoczne wdrożenie aktualizacji ze względu na potwierdzone aktywne wykorzystanie podatności.

Microsoft Exchange Server — wersje wskazane w referencjach producenta (portal.msrc.microsoft.com)

Podatność jest częścią łańcucha exploitów ProxyShell (powiązanego z CVE-2021-34523 i CVE-2021-31207), co potwierdza referencja Packet Storm Security zawierająca publiczny exploit. Figuruje w rejestrze CISA KEV jako aktywnie exploitowana.

CISA KEV — szczegółyi

Dostawcai

Microsoft ↗

Produkti

Exchange Server

Data dodania do KEVi

3 listopada 2021

Termin remediation (USA)i

17 listopada 2021(po terminie)

Ransomwarei

Aktywne kampanie ransomware używają tej podatności