После того как на конференции Black Hat специалисты осветили технические детали уязвимостей, способных привести к удалённому выполнению кода на серверах Microsoft Exchange (ProxyShell), киберпреступники ринулись эксплуатировать бреши в реальных кибератаках. Это ещё один повод всем задуматься над своевременным патчингом.
Напомним, что ProxyShell — общее название, под которым специалисты объединили три уязвимости, позволяющие атакующим удалённо выполнить код на серверах Microsoft Exchange. Для этого надо связать все три бреши в атаке.
Эксплуатация, само собой, тоже происходит удалённо, через Client Access Service (CAS), работающий на порте 443. Так выглядит список из трёх уязвимостей:
- CVE-2021-34473 — приводит к обходу ACL (пропатчена в апреле с выпуском апдейта KB5001779);
- CVE-2021-34523 — повышение прав в Exchange PowerShell Backend (пропатчена в апреле с выпуском KB5001779)
- CVE-2021-31207 — возможность записи в файл с последующим удалённым выполнением кода (пропатчена в мае с выпуском KB5003435).
Подробности уязвимостей на конференции Black Hat рассказал исследователь из Devcore Principal Security Оранж Тсай. В частности, эксперт указал на один из атакуемых компонентов в связке эксплойтов — службу Microsoft Exchange Autodiscover.
После выступления Тсая специалисты опубликовали статью, в которой приводятся технические детали эксплуатации ProxyShell. Такой расклад позволил тёмной стороне цифрового пространства использовать специальный URL —
https[://]Exchange-server/autodiscover/[email protected]/mapi/nspi/?&Email=autodiscover/autodiscover.json%3F@foo
Администраторам рекомендуют проверить IIS-логи на наличие пути
«/autodiscover/autodiscover.json». Если он там есть, значит, ваш сервер сканировали на наличие возможных уязвимостей.