Teknik detaylar, Microsoft Exchange Server'da ciddi bir güvenlik açığı ortaya çıkmıştır.
Bir saldırgan, Exchange Control Panel (ECP) uygulamasında Web Hizmetleri'ne bir istek yaparak ve bir kurbanın gelen kutusundan mesaj çalarak güvenlik açığından yararlanabilir.
CVE-2021-33766 olarak izlenen proxytoken, bir e-posta iletme kuralını tanımlayabilecekleri kullanıcı posta kutularının yapılandırma seçeneklerine izinsiz saldırılara erişimi sağlar.
Sonuç olarak, bir hedef kullanıcıya yönelik e-posta mesajları, saldırganın kontrol edilmesi için bir hesaba da verilebilir.
Hata, Vietnam Mesajları ve Telekomünikasyon Grubu'nun (VNPT-ISC) Bilgi Güvenlik Merkezi'ndeki bir araştırmacı Le Xuan Tuyen tarafından keşfedildi ve Mart ayındaki Sıfır Günü Girişim (ZDI) programı ile bildirildi.
Microsoft, Microsoft Exchange'nin ön sitesinin (Outlook Web Access, Exchange Kontrol Paneli), doğrulama isteklerini geçtiği arka uç sitesi (Exchange Arka Sonu) için büyük ölçüde bir proxy olarak işlev gördüğünü buldu.
"Hesaplanan kimlik doğrulamasının" özelliğinin etkin olduğu Microsoft Exchange Dağıtımlarında, ön taraf, bir 'SecurityToken' çerezinin varlığını belirleyen arka tarafa doğrulamaya ihtiyaç duyan istekleri iletir.
'/ ECP' içindeki bir istek üzerine boş olmayan bir 'GüvenlikTönümüstü' çerez varken, ön menteki kimlik doğrulama kararını arka tarafa devreder.
Bununla birlikte, Microsoft Exchange'in varsayılan yapılandırması, Backown ECP sitesi için, doğrulama işlemini (DelegateAuthmodule) delegasyonundan sorumlu olan modül için yüklenmez.
"Özetle, ön uç güvenliktöken kurabiyeyi gördüğünde, bu talebi doğrulamaktan, arka ucunun tek başına sorumlu olduğunu biliyor. Bu arada, arka uç, DelegatedAuthmodule, özel delegasyonlu kimlik doğrulama özelliğini kullanacak şekilde yapılandırılmamış kurulumlarda yüklenmediğinden, GüvenlikTönet Kurabiye'ye dayanan bazı taleplerin doğrulanması gerektiğinden tamamen habersizdir.
ProxyToken Kusurluluğunun Keşfetilmesi Başka Bir Sorun Olmadan Komplo Olmaz, Küçük Bir HTEYİN: / ECP sayfasının istekleri, bir HTTP 500 hatasını tetiklerken elde edilebilecek "ECP Kanarya" olarak bilinen bir bilete ihtiyaç duyar.
Görünüşe göre, biletsiz talepler, HTTP 500 hatasını, onaysız bir istek vermek için gerekli olan geçerli dizgiyi içeren HTTP 500 hatasını tetikler.
Şirketin kamu danışmanlığına göre Temmuz ayından bu yana Microsoft'tan bir yama mevcuttur. Rapid7'nin Tom satıcıları, sürüm numaralarının ve tarihlerin, yamaların nisan ayının erken saatlerinde yayıldığını gösterdiğini belirtti.
Güvenlik açığı kritik değil. NIST ciddiyet puanını 7.5'te hesapladı. Bunun nedeni, saldırganın aynı değişim sunucusunda mağdur olarak bir hesaba ihtiyacı olmasıdır.
Örnek olarak, bir saldırgandan gelen bir istek şöyle görünür:
Bir blog yazında bugün, sıfır gün girişimi, bazı Exchange Server yöneticilerinin, rastgele bir hedefe bir e-posta iletme kuralı oluşturulmasına izin veren bir genel yapılandırma değeri belirlediğini belirtti. Bu gibi durumlarda, saldırganın kimlik bilgisi yoktur.
Proxytoken için teknik detaylar yalnızca bugün piyasaya sürülse de, sömürüntü denemeleri üç hafta önce erken bir şekilde kaydedilmiştir.
NCC Grubu için Red Teamer, Rich Warren'e göre, 10 Ağustos'ta daha fazla sayıda sömürü denemesi gördü.
Proxyshell güvenlik açıkları durumunda, Microsoft Exchange sunucuları yöneticileri proxytoken için yamaları kurmamışsa, görevi önceliklendirmelidir.
Microsoft: Proxyshell Bugs "sömürülebilir," yaprısı sunucuları şimdi!
Microsoft Exchange Sunucuları Proxyshell Exploits üzerinden hackleniyor
Microsoft Exchange Sunucuları Proxyshell Güvenlik Açığı için Taranan, Şimdi Yama
Windows 11, 5 Ekim'de Yeni Cihazlara Çıkacak
Windows Update, Windows 11'e yükseltebiliyorsanız söyleyecektir
Kaynak: Bleeping Computer