Un'enorme vulnerabilità significa che la password e-mail persa può portare all'hacking di Microsoft Exchange Server, peggio ancora
2 minuto. leggere
Edizione del
Condividi questo articolo
Migliora questa guida
Leggi la nostra pagina informativa per scoprire come puoi aiutare MSPoweruser a sostenere il team editoriale Per saperne di più
È stata rilevata un'enorme falla nella sicurezza, il che significa che la maggior parte dei server Microsoft Exchange 2013 e versioni successive può essere violata per fornire ai criminali i privilegi di amministratore del controller di dominio completo, consentendo loro di creare account sul server di destinazione e andare e venire a piacimento.
Tutto ciò che serve per l'attacco PrivExchange è l'indirizzo e-mail e la password di un utente della casella di posta, e in alcune circostanze nemmeno quello.
Gli hacker sono in grado di compromettere il server utilizzando una combinazione di 3 vulnerabilità, che sono:
- I server Microsoft Exchange dispongono di una funzionalità denominata Servizi Web Exchange (EWS) di cui gli aggressori possono abusare per fare in modo che i server Exchange eseguano l'autenticazione su un sito Web controllato da un utente malintenzionato con l'account computer del server Exchange.
- Questa autenticazione viene eseguita utilizzando gli hash NTLM inviati tramite HTTP e anche il server Exchange non riesce a impostare i flag Sign and Seal per l'operazione NTLM, lasciando l'autenticazione NTLM vulnerabile agli attacchi di inoltro e consentendo all'autore dell'attacco di ottenere l'hash NTLM del server Exchange ( password dell'account del computer Windows).
- I server Microsoft Exchange sono installati per impostazione predefinita con accesso a molte operazioni con privilegi elevati, il che significa che l'autore dell'attacco può utilizzare l'account del computer appena compromesso del server Exchange per ottenere l'accesso come amministratore sul controller di dominio di un'azienda, dando loro la possibilità di creare più account backdoor a piacimento.
L'hack funziona su server Windows completamente patchati e al momento non è disponibile alcuna patch. Vi sono tuttavia una serie di attenuazioni che si possono leggere qui.
CERT attribuisce la vulnerabilità a Dirk-jan Mollema. Maggiori dettagli sull'attacco a Il sito di Dirk-jan qui.
via zdnet.com
