Цепочка уязвимостей Exchange Server позволяла захватить почтовый сервер без пароля. Уроки для всех, кто до сих пор держит Exchange у себя.
Публично раскрыта: 2 марта 2021
2 марта 2021 года Microsoft выпустил экстренные обновления Exchange Server: цепочка из четырёх уязвимостей, позже названная ProxyLogon, позволяла обойти аутентификацию и выполнить код на сервере. Эксплуатация началась ещё до выхода исправления, а после публикации множество группировок сканировали интернет в поисках необновлённых серверов и устанавливали веб-шеллы.
| CVE | Опасность | Уязвимые версии | Исправлено в |
|---|---|---|---|
CVE-2021-26855 | Критическая, CVSS 9.1 (SSRF, обход аутентификации) | Exchange Server 2013, 2016, 2019 | Обновления безопасности марта 2021 |
CVE-2021-26857, -26858, -27065 | Высокая (выполнение кода, запись файлов) | Exchange Server 2013, 2016, 2019 | Обновления безопасности марта 2021 |
Многие серверы были взломаны в дни между публикацией и установкой исправлений. Обновление не удаляло уже установленные злоумышленниками веб-шеллы, поэтому обновлённые серверы могли оставаться под их контролем.
.aspx, новые учётные записи, запросы на экспорт почтовых ящиков.Обновление закрывает дверь. Проверка на взлом показывает, кто уже вошёл.
Источники: Microsoft Security Blog, NVD CVE-2021-26855.
Нужна помощь? Свяжитесь с CySec — первая консультация бесплатно.
Новая цепочка эксплойтов даёт root на локальных серверах N-central; атаки начались через несколько часов после публикации. Полного исправления пока нет — срочные проверки.
Читать статьюЭксплуатируемая уязвимость Outlook передаёт хеш NTLM через специальный файл. В этом месяце Microsoft исправила более 1000 уязвимостей — вот приоритеты.
Читать статьюGoogle исправила уже эксплуатируемую уязвимость use-after-free в Chrome. Исправление работает только после перезапуска браузера — как убедиться, что защищён каждый ПК.
Читать статьюНаши инженеры проанализируют вашу текущую инфраструктуру и предложат конкретные улучшения.