Η τεράστια ευπάθεια σημαίνει ότι η απώλεια κωδικού πρόσβασης email μπορεί να οδηγήσει σε χακαρισμένο διακομιστή Microsoft Exchange, χειρότερα

Βρέθηκε ένα τεράστιο κενό ασφαλείας που σημαίνει ότι οι περισσότεροι Microsoft Exchange Servers 2013 και μεταγενέστεροι μπορούν να παραβιαστούν για να δώσουν στους εγκληματίες πλήρη δικαιώματα διαχειριστή του Domain Controller, επιτρέποντάς τους να δημιουργούν λογαριασμούς στον διακομιστή-στόχο και να έρχονται και να φεύγουν κατά βούληση.

Το μόνο που χρειάζεται για την επίθεση PrivExchange είναι η διεύθυνση email και ο κωδικός πρόσβασης ενός χρήστη γραμματοκιβωτίου, και σε ορισμένες περιπτώσεις ούτε καν αυτό.

Οι χάκερ είναι σε θέση να παραβιάσουν τον διακομιστή χρησιμοποιώντας έναν συνδυασμό 3 ευπάθειας, τα οποία είναι:

1. Οι διακομιστές του Microsoft Exchange διαθέτουν μια δυνατότητα που ονομάζεται Υπηρεσίες Ιστού Exchange (EWS) την οποία οι εισβολείς μπορούν να κάνουν κατάχρηση για να κάνουν τους διακομιστές Exchange τον έλεγχο ταυτότητας σε έναν ιστότοπο που ελέγχεται από εισβολείς με τον λογαριασμό υπολογιστή του διακομιστή Exchange.
2. Αυτός ο έλεγχος ταυτότητας γίνεται με χρήση κατακερματισμών NTLM που αποστέλλονται μέσω HTTP και ο διακομιστής Exchange αποτυγχάνει επίσης να ορίσει τις σημαίες Sign και Seal για τη λειτουργία NTLM, αφήνοντας τον έλεγχο ταυτότητας NTLM ευάλωτο σε επιθέσεις αναμετάδοσης και επιτρέποντας στον εισβολέα να αποκτήσει τον κατακερματισμό NTLM του διακομιστή Exchange ( κωδικός πρόσβασης λογαριασμού υπολογιστή Windows).
3. Οι διακομιστές Microsoft Exchange εγκαθίστανται από προεπιλογή με πρόσβαση σε πολλές λειτουργίες υψηλών προνομίων, πράγμα που σημαίνει ότι ο εισβολέας μπορεί να χρησιμοποιήσει τον πρόσφατα παραβιασμένο λογαριασμό υπολογιστή του διακομιστή Exchange για να αποκτήσει πρόσβαση διαχειριστή στον ελεγκτή τομέα μιας εταιρείας, δίνοντάς τους τη δυνατότητα να δημιουργήσουν περισσότερους λογαριασμούς backdoor κατά βούληση.

Το hack λειτουργεί σε πλήρως επιδιορθωμένους διακομιστές Windows και δεν υπάρχει διαθέσιμη ενημέρωση κώδικα. Ωστόσο, υπάρχει μια σειρά από μετριασμούς που μπορείτε να διαβάσετε εδώ.

CERT πιστώνει την ευπάθεια στον Dirk-jan Mollema. Διαβάστε περισσότερες λεπτομέρειες για την επίθεση στο Ο ιστότοπος του Dirk-jan εδώ.

Μέσω zdnet.com