Noi zero-day-uri în Microsoft Exchange permit atacuri RCE și furt de date

Patru vulnerabilități de tip zero-day din cadrul Microsoft Exchange ar putea fi exploatate de la distanță pentru a executa cod arbitrar sau pentru a dezvălui informații sensibile în aplicațiile afectate.

Cele patru vulnerabilități sunt:

ZDI-23-1578 – o vulnerabilitate de tip remote code execution (RCE) în clasa ChainedSerializationBinder, în care datele utilizatorului nu sunt validate permițând atacatorilor deserializarea datelor nesigure. Exploatarea cu succes permite unui atacator să execute cod arbitrar cu drepturi de SYSTEM.

ZDI-23-1579 – în secțiunea DownloadDataFromUri, această vulnerabilitate se datorează validării insuficiente a unui URI înainte de accesarea resurselor. Atacatorii o pot exploata pentru a accesa informații sensibile de pe serverele Exchange.

ZDI-23-1580 – această vulnerabilitate, în secțiunea DownloadDataFromOfficeMarketPlace, se datorează, de asemenea, validării necorespunzătoare a URI, ceea ce poate duce la divulgarea neautorizată de informații.

ZDI-23-1581 – prezentă în secțiunea CreateAttachmentFromUri, această vulnerabilitate face referire la aceeași problemă privind validarea necorespunzătoarea a URI, provocând expunerea datelor cu caracter sensibil.

Toate aceste vulnerabilități necesită autentificare pentru a fi exploatate, ceea ce le micșorează scorul CVSS la o valoare cuprinsă între 7,1 și 7,5. În plus, faptul că este necesară autentificarea este un factor de diminuare a riscurilor și, probabil, motivul pentru care Microsoft nu a acordat prioritate remedierii acestor vulnerabilități.

Totuși, zero-day-urile prezentate ar trebui tratate cu maximă importanță, în special ZDI-23-1578 (RCE), care poate duce la compromiterea completă a sistemului.

ZDI sugerează că singura metodă de limitare este de a restricționa interacțiunea cu aplicațiile Exchange.

De asemenea, se recomandă implementarea autentificării multi-factor pentru a împiedica accesarea instanțelor Exchange, chiar și atunci când credențialele contului au fost compromise.

Sursă: https://www.bleepingcomputer.com/news/microsoft/new-microsoft-exchange-zero-days-allow-rce-data-theft-attacks/