Vulnerabilitatea masivă înseamnă că pierderea parolei de e-mail poate duce la piratarea serverului Microsoft Exchange, și mai rău

A fost găsită o gaură masivă de securitate, ceea ce înseamnă că majoritatea serverelor Microsoft Exchange 2013 și mai sus pot fi piratate pentru a oferi infractorilor privilegii complete de administrator pentru controlerul de domeniu, permițându-le să creeze conturi pe serverul țintă și să vină și să plece după bunul plac.

Tot ceea ce este necesar pentru atacul PrivExchange este adresa de e-mail și parola unui utilizator de cutie poștală, iar în unele circumstanțe nici măcar asta.

Hackerii sunt capabili să compromită serverul folosind o combinație de 3 vulnerabilități, care sunt:

1. Serverele Microsoft Exchange au o caracteristică numită Exchange Web Services (EWS) de care atacatorii o pot abuza pentru a face serverele Exchange să se autentifice pe un site web controlat de atacator cu contul de computer al serverului Exchange.
2. Această autentificare se face folosind hash-uri NTLM trimise prin HTTP și, de asemenea, serverul Exchange nu reușește să seteze steaguri de semnare și sigilare pentru operațiunea NTLM, lăsând autentificarea NTLM vulnerabilă la atacuri de retransmisie și permițând atacatorului să obțină hash-ul NTLM al serverului Exchange ( parola contului computerului Windows).
3. Serverele Microsoft Exchange sunt instalate în mod implicit cu acces la multe operațiuni cu privilegii înalte, ceea ce înseamnă că atacatorul poate folosi contul de computer proaspăt compromis al serverului Exchange pentru a obține acces de administrator la controlerul de domeniu al unei companii, oferindu-le posibilitatea de a crea mai multe conturi backdoor după bunul plac.

Hackul funcționează pe serverele Windows complet corelate și nicio corecție nu este disponibilă în prezent. Există totuși o serie de atenuări care poate fi citit aici.

CERT atribuie vulnerabilitatea lui Dirk-jan Mollema. Citiți mai multe detalii despre atac la Site-ul lui Dirk-jan aici.

Prin intermediul zdnet.com