微軟Exchange曝多個(gè)高危漏洞，無需驗(yàn)證交互即可觸發(fā)
3月2日，微軟發(fā)布了Microsoft Exchange Server的安全更新公告，其中包含多個(gè)Exchange Server嚴(yán)重安全漏洞，危害等級為“高危”，漏洞編號分別為CVE-2021-26855、CVE-2021-26857、CVE-2021-26858、CVE-2021-27065。
Exchange Server是微軟公司的一套電子郵件服務(wù)組件，是個(gè)消息與協(xié)作系統(tǒng)，主要提供包括從電子郵件、會議安排、團(tuán)體日程管理、任務(wù)管理、文檔管理、實(shí)時(shí)會議和工作流等協(xié)作應(yīng)用。
漏洞詳情
(1) CVE-2021-26855
該漏洞是Exchange中的服務(wù)端請求偽造漏洞(SSRF)，利用此漏洞的攻擊者能夠發(fā)送任意HTTP請求并繞過Exchange Server身份驗(yàn)證，遠(yuǎn)程未授權(quán)的攻擊者可以利用該漏洞以進(jìn)行內(nèi)網(wǎng)探測，并可以用于竊取用戶郵箱的全部內(nèi)容。
危害：該漏洞是Exchange中的服務(wù)端請求偽造漏洞(SSRF)，利用此漏洞的攻擊者能夠發(fā)送任意HTTP請求并繞過Exchange Server身份驗(yàn)證，遠(yuǎn)程未授權(quán)的攻擊者可以利用該漏洞以進(jìn)行內(nèi)網(wǎng)探測，并可以用于竊取用戶郵箱的全部內(nèi)容。
(2) CVE-2021-26857
該漏洞是Unified Messaging 服務(wù)中的不安全的反序列化漏洞。利用該漏洞，攻擊者可以發(fā)送精心構(gòu)造的惡意請求，從而在Exchange Server上以SYSTEM身份執(zhí)行任意代碼。
危害：該漏洞是Unified Messaging 服務(wù)中的不安全的反序列化漏洞。利用該漏洞，攻擊者可以發(fā)送精心構(gòu)造的惡意請求，從而在Exchange Server上以SYSTEM身份執(zhí)行任意代碼。
(3) CVE-2021-26858
該漏洞是Exchange中的任意文件寫入漏洞。該漏洞需要進(jìn)行身份認(rèn)證，利用此漏洞可以將文件寫入服務(wù)器上的任何路徑。并可以結(jié)合利用CVE-2021-26855 SSRF漏洞或繞過權(quán)限認(rèn)證進(jìn)行文件寫入。
危害：該漏洞是Exchange中的任意文件寫入漏洞。該漏洞需要進(jìn)行身份認(rèn)證，利用此漏洞可以將文件寫入服務(wù)器上的任何路徑。并可以結(jié)合利用CVE-2021-26855 SSRF漏洞或繞過權(quán)限認(rèn)證進(jìn)行文件寫入。
(4) CVE-2021-27065
該漏洞是Exchange中的任意文件寫入漏洞。該漏洞需要進(jìn)行身份認(rèn)證，利用此漏洞可以將文件寫入服務(wù)器上的任何路徑。并可以結(jié)合利用CVE-2021-26855 SSRF漏洞或繞過權(quán)限認(rèn)證進(jìn)行文件寫入。
危害：該漏洞是Exchange中的任意文件寫入漏洞。該漏洞需要進(jìn)行身份認(rèn)證，利用此漏洞可以將文件寫入服務(wù)器上的任何路徑。并可以結(jié)合利用CVE-2021-26855 SSRF漏洞或繞過權(quán)限認(rèn)證進(jìn)行文件寫入。
影響范圍
- Microsoft Exchange 2013
- Microsoft Exchange 2016
- Microsoft Exchange 2019
- Microsoft Exchange 2010
防范措施
(1) 微軟官方已經(jīng)發(fā)布了解決上述漏洞的安全更新，建議受影響用戶盡快升級到安全版本，官方安全版本下載可以參考以下鏈接：
- CVE-2021-26855: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-26855
- CVE-2021-26857: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-26857
- CVE-2021-26858: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-26858
- CVE-2021-27065: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-27065
(2) 若無法及時(shí)進(jìn)行升級，建議采用官方的臨時(shí)措施進(jìn)行防御：
https://www.microsoft.com/security/blog/2021/03/02/hafnium-targeting-exchange-servers/
