SK-CERT Bezpečnostné varovanie V20210304-03

4. marca 2021

Dôležitosť	Kritická
Klasifikácia	Neutajované/TLP WHITE
CVSS Skóre	9.1

Identifikátor

Kritické bezpečnostné zraniteľnosti v produkte Microsoft Exchange Server

Popis

Spoločnosť Microsoft vydala bezpečnostnú aktualizáciu na svoj produkt Exchange Server, ktorá opravuje viacero bezpečnostných zraniteľností, z toho dve kritické.
Najzávažnejšia kritická bezpečnostná zraniteľnosť spočíva v nedostatočnej implementácii bezpečnostných mechanizmov a umožňuje vzdialenému, neautentifikovanému útočníkovi vykonať škodlivý kód s následkom úplného narušenia dôvernosti a integrity systému.
Zraniteľnosti sú v súčasnosti aktívne zneužívané útočníkmi.

Dátum prvého zverejnenia varovania

02.03.2021

CVE

CVE-2021-26412, CVE-2021-26854, CVE-2021-26855, CVE-2021-26857, CVE-2021-26858, CVE-2021-27065, CVE-2021-27078

IOC

HTTP POST požiadavky
/owa/auth/Current/themes/resources/logon.css
/owa/auth/Current/themes/resources/owafont_ja.css
/owa/auth/Current/themes/resources/lgnbotl.gif
/owa/auth/Current/themes/resources/owafont_ko.css
/owa/auth/Current/themes/resources/SegoeUI-SemiBold.eot
/owa/auth/Current/themes/resources/SegoeUI-SemiLight.ttf
/owa/auth/Current/themes/resources/lgnbotl.gif
/owa/auth/Current/
/ecp/default.flt
/ecp/main.css
/ecp/<ĽUBOVOĽNÝ ZNAK>.js

WEBSHELL-y vytvorené útočníkom
\inetpub\wwwroot\aspnet_client\ (ľubovoľný .aspx súbor v tomto priečinku a jeho podpriečinkoch)
\\FrontEnd\HttpProxy\ecp\auth\ (ľubovoľné súbory okrem TimeoutLogoff.aspx)
\\FrontEnd\HttpProxy\owa\auth\ (ľubovoľné súbory, ktoré nie sú súčasťou štandardnej inštalácie)
\\FrontEnd\HttpProxy\owa\auth\Current\ (ľubovoľný .aspx súbor v tomto priečinku a jeho podpriečinkoch)
\\FrontEnd\HttpProxy\owa\auth\\(ľubovoľný .aspx súbor v tomto priečinku a jeho podpriečinkoch)

Neštandardné User-Agent asociované s POST požiadavkami na /owa/auth/Current
DuckDuckBot/1.0;+(+http://duckduckgo.com/duckduckbot.html)
facebookexternalhit/1.1+(+http://www.facebook.com/externalhit_uatext.php)
Mozilla/5.0+(compatible;+Baiduspider/2.0;++http://www.baidu.com/search/spider.html)
Mozilla/5.0+(compatible;+Bingbot/2.0;++http://www.bing.com/bingbot.htm)
Mozilla/5.0+(compatible;+Googlebot/2.1;++http://www.google.com/bot.html
Mozilla/5.0+(compatible;+Konqueror/3.5;+Linux)+KHTML/3.5.5+(like+Gecko)+(Exabot-Thumbnails)
Mozilla/5.0+(compatible;+Yahoo!+Slurp;+http://help.yahoo.com/help/us/ysearch/slurp)
Mozilla/5.0+(compatible;+YandexBot/3.0;++http://yandex.com/bots)
Mozilla/5.0+(X11;+Linux+x86_64)+AppleWebKit/537.36+(KHTML,+like+Gecko)+Chrome/51.0.2704.103+Safari/537.36
ExchangeServicesClient/0.0.0.0
python-requests/2.19.1
python-requests/2.25.1
antSword/v2.1
Googlebot/2.1+(+http://www.googlebot.com/bot.html)
Mozilla/5.0+(compatible;+Baiduspider/2.0;++http://www.baidu.com/search/spider.html)

IP adresy
103.77.192.219
104.140.114.110
104.250.191.110
108.61.246.56
149.28.14.163
157.230.221.198
167.99.168.251
185.250.151.72
192.81.208.169
203.160.69.66
211.56.98.146
5.254.43.18
80.92.205.81

Zasiahnuté systémy

Microsoft Exchange Server 2013
Microsoft Exchange Server 2016
Microsoft Exchange Server 2019
Presnú specifikáciu jednotlivých zasiahnutých produktov nájdete na webovej adrese:
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-26855

Následky

Vykonanie škodlivého kódu
Neoprávnený prístup k citlivým údajom
Neoprávnená zmena v systéme

Odporúčania

Administrátorom odporúčame bezodkladne vykonať aktualizáciu zasiahnutých systémov.
Po odstránení zraniteľností, ktoré mohli spôsobiť vzdialené vykonanie kódu, je dobrou praxou kontrola systému a zmena všetkých hesiel a kľúčov na dotknutom systéme a aj na iných systémoch, kde sa používalo rovnaké heslo či kľúč.

Zdroje

https://msrc-blog.microsoft.com/2021/03/02/multiple-security-updates-released-for-exchange-server/
https://us-cert.cisa.gov/ncas/current-activity/2021/03/02/microsoft-releases-out-band-security-updates-exchange-server
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-26855
https://exchange.xforce.ibmcloud.com/vulnerabilities/197219
https://www.bleepingcomputer.com/news/security/microsoft-fixes-actively-exploited-exchange-zero-day-bugs-patch-now/
https://www.microsoft.com/security/blog/2021/03/02/hafnium-targeting-exchange-servers/
https://msrc-blog.microsoft.com/2021/03/02/multiple-security-updates-released-for-exchange-server/
https://www.volexity.com/blog/2021/03/02/active-exploitation-of-microsoft-exchange-zero-day-vulnerabilities/
https://blog.rapid7.com/2021/03/03/rapid7s-insightidr-enables-detection-and-response-to-microsoft-exchange-0-day/
https://us-cert.cisa.gov/ncas/alerts/aa21-062a
https://us-cert.cisa.gov/ncas/current-activity/2021/03/03/cisa-issues-emergency-directive-and-alert-microsoft-exchange

« Späť na zoznam

Dôležité odkazy