SK-CERT Bezpečnostné varovanie V20210304-03

Dôležitosť Kritická
Klasifikácia Neutajované/TLP WHITE
CVSS Skóre
 9.1
Identifikátor
Kritické bezpečnostné zraniteľnosti v produkte Microsoft Exchange Server
Popis
Spoločnosť Microsoft vydala bezpečnostnú aktualizáciu na svoj produkt Exchange Server, ktorá opravuje viacero bezpečnostných zraniteľností, z toho dve kritické.
Najzávažnejšia kritická bezpečnostná zraniteľnosť spočíva v nedostatočnej implementácii bezpečnostných mechanizmov a umožňuje vzdialenému, neautentifikovanému útočníkovi vykonať škodlivý kód s následkom úplného narušenia dôvernosti a integrity systému.
Zraniteľnosti sú v súčasnosti aktívne zneužívané útočníkmi.
Dátum prvého zverejnenia varovania
02.03.2021
CVE
CVE-2021-26412, CVE-2021-26854, CVE-2021-26855, CVE-2021-26857, CVE-2021-26858, CVE-2021-27065, CVE-2021-27078
IOC
HTTP POST požiadavky
/owa/auth/Current/themes/resources/logon.css
/owa/auth/Current/themes/resources/owafont_ja.css
/owa/auth/Current/themes/resources/lgnbotl.gif
/owa/auth/Current/themes/resources/owafont_ko.css
/owa/auth/Current/themes/resources/SegoeUI-SemiBold.eot
/owa/auth/Current/themes/resources/SegoeUI-SemiLight.ttf
/owa/auth/Current/themes/resources/lgnbotl.gif
/owa/auth/Current/
/ecp/default.flt
/ecp/main.css
/ecp/<ĽUBOVOĽNÝ ZNAK>.js

WEBSHELL-y vytvorené útočníkom
\inetpub\wwwroot\aspnet_client\ (ľubovoľný .aspx súbor v tomto priečinku a jeho podpriečinkoch)
\\FrontEnd\HttpProxy\ecp\auth\ (ľubovoľné súbory okrem TimeoutLogoff.aspx)
\\FrontEnd\HttpProxy\owa\auth\ (ľubovoľné súbory, ktoré nie sú súčasťou štandardnej inštalácie)
\\FrontEnd\HttpProxy\owa\auth\Current\ (ľubovoľný .aspx súbor v tomto priečinku a jeho podpriečinkoch)
\\FrontEnd\HttpProxy\owa\auth\\(ľubovoľný .aspx súbor v tomto priečinku a jeho podpriečinkoch)

Neštandardné User-Agent asociované s POST požiadavkami na /owa/auth/Current
DuckDuckBot/1.0;+(+http://duckduckgo.com/duckduckbot.html)
facebookexternalhit/1.1+(+http://www.facebook.com/externalhit_uatext.php)
Mozilla/5.0+(compatible;+Baiduspider/2.0;++http://www.baidu.com/search/spider.html)
Mozilla/5.0+(compatible;+Bingbot/2.0;++http://www.bing.com/bingbot.htm)
Mozilla/5.0+(compatible;+Googlebot/2.1;++http://www.google.com/bot.html
Mozilla/5.0+(compatible;+Konqueror/3.5;+Linux)+KHTML/3.5.5+(like+Gecko)+(Exabot-Thumbnails)
Mozilla/5.0+(compatible;+Yahoo!+Slurp;+http://help.yahoo.com/help/us/ysearch/slurp)
Mozilla/5.0+(compatible;+YandexBot/3.0;++http://yandex.com/bots)
Mozilla/5.0+(X11;+Linux+x86_64)+AppleWebKit/537.36+(KHTML,+like+Gecko)+Chrome/51.0.2704.103+Safari/537.36
ExchangeServicesClient/0.0.0.0
python-requests/2.19.1
python-requests/2.25.1
antSword/v2.1
Googlebot/2.1+(+http://www.googlebot.com/bot.html)
Mozilla/5.0+(compatible;+Baiduspider/2.0;++http://www.baidu.com/search/spider.html)

IP adresy
103.77.192.219
104.140.114.110
104.250.191.110
108.61.246.56
149.28.14.163
157.230.221.198
167.99.168.251
185.250.151.72
192.81.208.169
203.160.69.66
211.56.98.146
5.254.43.18
80.92.205.81
Zasiahnuté systémy
Microsoft Exchange Server 2013
Microsoft Exchange Server 2016
Microsoft Exchange Server 2019
Presnú specifikáciu jednotlivých zasiahnutých produktov nájdete na webovej adrese:
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-26855
Následky
Vykonanie škodlivého kódu
Neoprávnený prístup k citlivým údajom
Neoprávnená zmena v systéme
Odporúčania
Administrátorom odporúčame bezodkladne vykonať aktualizáciu zasiahnutých systémov.
Po odstránení zraniteľností, ktoré mohli spôsobiť vzdialené vykonanie kódu, je dobrou praxou kontrola systému a zmena všetkých hesiel a kľúčov na dotknutom systéme a aj na iných systémoch, kde sa používalo rovnaké heslo či kľúč.
Zdroje
https://msrc-blog.microsoft.com/2021/03/02/multiple-security-updates-released-for-exchange-server/
https://us-cert.cisa.gov/ncas/current-activity/2021/03/02/microsoft-releases-out-band-security-updates-exchange-server
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-26855
https://exchange.xforce.ibmcloud.com/vulnerabilities/197219
https://www.bleepingcomputer.com/news/security/microsoft-fixes-actively-exploited-exchange-zero-day-bugs-patch-now/
https://www.microsoft.com/security/blog/2021/03/02/hafnium-targeting-exchange-servers/
https://msrc-blog.microsoft.com/2021/03/02/multiple-security-updates-released-for-exchange-server/
https://www.volexity.com/blog/2021/03/02/active-exploitation-of-microsoft-exchange-zero-day-vulnerabilities/
https://blog.rapid7.com/2021/03/03/rapid7s-insightidr-enables-detection-and-response-to-microsoft-exchange-0-day/
https://us-cert.cisa.gov/ncas/alerts/aa21-062a
https://us-cert.cisa.gov/ncas/current-activity/2021/03/03/cisa-issues-emergency-directive-and-alert-microsoft-exchange

« Späť na zoznam
Aktuálne hrozby
všetky oznámenia
Odkazy