Microsoft Exchange多個高危漏洞安全通告

收錄於話題 #安全公告 134個內容

Microsoft Exchange Server是微軟公司的一套電子郵件服務組件，是個消息與協作系統。Exchange server可以被用來構架應用於企業、學校的郵件系統或免費郵件系統。它還是一個協作平臺。你可以在此基礎上開發工作流，知識管理系統，Web系統或者是其他消息系統。2021年03月03日，新華三攻防實驗室監測到微軟官方發布了Microsoft Exchange安全更新，修復了包含CVE-2021-26855在內的多個高危漏洞。

2021年03月03日，微軟官方發布安全更新，修復了多個高危漏洞，包括：

1、CVE-2021-26855 服務端請求偽造漏洞

該漏洞無需身份認證，攻擊者可以利用此漏洞發送惡意請求，偽造成Exchange server的身份發起任意HTTP請求，對內網進行掃描，並獲取Exchange的用戶信息。

2、CVE-2021-26857 反序列化漏洞

該漏洞需要Exchange administrator權限，攻擊者可以利用此漏洞發送惡意請求來觸發反序列化漏洞，從而執行任意代碼。

3、CVE-2021-26858/CVE-2021-27065 任意文件寫入漏洞

攻擊者通過Exchange伺服器進行身份驗證後，可以利用此漏洞將文件寫入伺服器上的任何路徑。該漏洞可以配合CVE-2021-26855 SSRF漏洞破壞管理員憑據後進行組合攻擊。

CVE-2021-26855高危

CVE-2021-26857高危

CVE-2021-26858高危

CVE-2021-27065高危

受影響版本：

Microsoft Exchange 2010

Microsoft Exchange 2013

Microsoft Exchange 2016

Microsoft Exchange 2019

目前官方已經發布對應漏洞修復補丁，下載地址連結：

CVE-2021-26855 

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-26855

CVE-2021-26857 

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-26857

CVE-2021-26858 

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-26858

CVE-2021-27065 

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-27065

CVE-2021-26855：

可以通過以下Exchange HttpProxy日誌進行檢測：

%PROGRAMFILES%\Microsoft\Exchange Server\V15\Logging\HttpProxy

通過以下Powershell腳本可直接進行日誌檢測，檢查是否受到攻擊：

Import-Csv -Path (Get-ChildItem -Recurse -Path 「$env:PROGRAMFILES\Microsoft\Exchange Server\V15\Logging\HttpProxy」 -Filter 『*.log』).FullName | Where-Object {  $_.AuthenticatedUser -eq 」 -and $_.AnchorMailbox -like 『ServerInfo~*/*』 } | select DateTime, AnchorMailbox

如果檢測到了入侵，可以通過以下目錄獲取攻擊者採取了哪些活動：

%PROGRAMFILES%\Microsoft\Exchange Server\V15\Logging

CVE-2021-26858：

日誌目錄：

C:\ProgramFiles\Microsoft\ExchangeServer\V15\Logging\OABGeneratorLog

可通過以下命令進行快速瀏覽，並檢查是否受到攻擊：

findstr /snip /c:」Download failed and temporary file」 「%PROGRAMFILES%\Microsoft\Exchange Server\V15\Logging\OABGeneratorLog\*.log」

CVE-2021-26857：

該漏洞單獨利用難度稍高，可利用以下命令檢測日誌條目，並檢查是否受到攻擊。

Get-EventLog -LogName Application -Source 「MSExchange Unified Messaging」 -EntryType Error | Where-Object { $_.Message -like 「*System.InvalidCastException*」 }

CVE-2021-27065:

通過以下powershell命令進行日誌檢測，並檢查是否遭到攻擊:

Select-String -Path 「$env:PROGRAMFILES\Microsoft\Exchange Server\V15\Logging\ECP\Ser

1、https://msrc-blog.microsoft.com/2021/03/02/multiple-security-updates-released-for-exchange-server/

2、https://www.microsoft.com/security/blog/2021/03/02/hafnium-targeting-exchange-servers/