Ένα νέο θέμα ευπάθειας έχει βρεθεί στους Microsoft Exchange Server 2013, 2016 και 2019. Αυτή η νέα ευπάθεια καλείται PrivExchange και είναι στην πραγματικότητα μια ευπάθεια μηδενικής ημέρας.

Χρησιμοποιώντας αυτήν την τρύπα ασφαλείας, ένας εισβολέας μπορεί να αποκτήσει δικαιώματα διαχειριστή τομέα, χρησιμοποιώντας τα διαπιστευτήρια ενός χρήστη γραμματοκιβωτίου ανταλλαγής με τη βοήθεια απλού εργαλείου της Python.

Αυτή η νέα ευπάθεια τονίστηκε από έναν ερευνητή Dirk-Jan Mollema στο προσωπικό του blog πριν από μία εβδομάδα. Στο blog του, αποκαλύπτει σημαντικές πληροφορίες σχετικά με την ευαισθησία του PrivExchange μηδενικής ημέρας.

Γράφει ότι αυτό δεν είναι ένα μόνο ελάττωμα, αν αποτελείται από 3 στοιχεία που συνδυάζονται για να κλιμακώσουν την πρόσβαση ενός εισβολέα από οποιονδήποτε χρήστη με ένα γραμματοκιβώτιο στο Domain Admin.

Αυτά τα τρία ελαττώματα είναι:

• Οι διακομιστές Exchange έχουν (πολύ) υψηλά προνόμια από προεπιλογή
• Ο έλεγχος ταυτότητας NTLM είναι ευάλωτος στις επιθέσεις επανάληψης
• Το Exchange διαθέτει ένα χαρακτηριστικό το οποίο καθιστά τον έλεγχο ταυτότητας σε έναν εισβολέα με τον λογαριασμό υπολογιστή του διακομιστή Exchange.

Σύμφωνα με τον ερευνητή, η όλη επίθεση μπορεί να εκτελεστεί χρησιμοποιώντας τα δύο εργαλεία που ονομάζονται privexchange.py και ntlmrelayx. Ωστόσο, η ίδια επίθεση εξακολουθεί να είναι δυνατή εάν ο εισβολέας δεν έχει τα απαιτούμενα διαπιστευτήρια χρήστη.

Σε τέτοιες περιπτώσεις, το τροποποιημένο httpattack.py μπορεί να χρησιμοποιηθεί με το ntlmrelayx για να εκτελέσει την επίθεση από την προοπτική του δικτύου χωρίς καμία πιστοποίηση.

Πώς να μετριάσετε τις ευπάθειες του Microsoft Exchange Server

Δεν έχουν προταθεί ακόμη από τη Microsoft ενημερώσεις κώδικα για την επίλυση αυτής της ευπάθειας μηδέν. Ωστόσο, στην ίδια θέση στο blog, ο Dirk-Jan Mollema κοινοποιεί κάποιους μετριασμούς που μπορούν να εφαρμοστούν για την προστασία του διακομιστή από τις επιθέσεις.

Οι προτεινόμενοι μετριασμοί είναι:

• Αποκλεισμός διακομιστών ανταλλαγής από την καθιέρωση σχέσεων με άλλους σταθμούς εργασίας
• Εξαλείφοντας το κλειδί μητρώου
• Εφαρμογή υπογραφής SMB σε διακομιστές Exchange
• Κατάργηση περιττών προνομίων από το αντικείμενο τομέα Exchange
• Ενεργοποίηση της εκτεταμένης προστασίας για τον έλεγχο ταυτότητας στα τελικά σημεία του Exchange στο IIS, εξαιρουμένων των Exchange Back End, επειδή αυτό θα διασπάσει το Exchange).

Επιπλέον, μπορείτε να εγκαταστήσετε μία από αυτές τις λύσεις προστασίας από ιούς για τον Microsoft Server 2013.

Οι επιθέσεις PrivExchange έχουν επιβεβαιωθεί στις πλήρως ενημερωμένες εκδόσεις των διακομιστών Exchange και Windows Servers, όπως Exchange 2013, 2016 και 2019.