Microsoft Exchange多個高危漏洞安全風(fēng)險通告
發(fā)布日期：2021-3-4
?
漏洞描述
Exchange Server 是微軟公司的一套電子郵件服務(wù)組件，是個消息與協(xié)作系統(tǒng)。2021年03月3日，微軟官方發(fā)布了Microsoft Exchange安全更新，披露了多個高危嚴(yán)重漏洞，建議 Microsoft Exchange 用戶修復(fù)漏洞。
漏洞編號
CVE-2021-26855
CVE-2021-26857
CVE-2021-26858
CVE-2021-27065
漏洞危害
1、在 CVE-2021-26855 Exchange SSRF漏洞中，攻擊者可直接構(gòu)造惡意請求，以Exchange server的身份發(fā)起任意HTTP請求，掃描內(nèi)網(wǎng)，并且可獲取Exchange用戶信息。該漏洞利用無需身份認(rèn)證。
2、在 CVE-2021-26857 Unified Messaging service 反序列化漏洞中，攻擊者可構(gòu)造惡意請求，觸發(fā)反序列化漏洞，從而執(zhí)行任意代碼。成功利用該漏洞需要Exchange administrator權(quán)限，或需要配合其他漏洞。
3、在 CVE-2021-26858/CVE-2021-27065 Exchange 任意文件寫入漏洞中，攻擊者可結(jié)合CVE-2021-26855 SSRF漏洞，或提供正確的administrator憑證，構(gòu)造惡意請求，在系統(tǒng)上寫入任意文件。
漏洞等級
高危
受影響版本
Microsoft Exchange 2013
Microsoft Exchange 2016
Microsoft Exchange 2019
Microsoft Exchange 2010
修復(fù)方案
1、微軟官方已針對該批漏洞發(fā)布相關(guān)安全更新補(bǔ)丁，可按照以下鏈接進(jìn)行升級：
CVE-2021-26855 https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-26855
CVE-2021-26857 https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-26855
CVE-2021-26858 https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-26855
CVE-2021-27065 https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-26855
2、若無法直接升級，可參考如下措施來檢測是否受到攻擊：
針對CVE-2021-26855 Exchange SSRF漏洞，可以通過以下Exchange HttpProxy日志進(jìn)行檢測：
%PROGRAMFILES%\Microsoft\Exchange Server\V15\Logging\HttpProxy
通過以下Powershell可直接進(jìn)行日志檢測，并檢查是否受到攻擊：
Import-Csv -Path (Get-ChildItem -Recurse -Path “$env:PROGRAMFILES\Microsoft\Exchange Server\V15\Logging\HttpProxy” -Filter ‘*.log’).FullName | Where-Object { ?$_.AuthenticatedUser -eq ” -and $_.AnchorMailbox -like ‘ServerInfo~*/*’ } | select DateTime, AnchorMailbox
如果檢測到了入侵，可以通過以下目錄獲取攻擊者采取了哪些活動
%PROGRAMFILES%\Microsoft\Exchange Server\V15\Logging
針對 CVE-2021-26857 Unified Messaging service 反序列化漏洞：
該漏洞單獨(dú)利用難度稍高，可利用以下命令檢測日志條目，并檢查是否受到攻擊。
Get-EventLog -LogName Application -Source “MSExchange Unified Messaging” -EntryType Error | Where-Object { $_.Message -like “*System.InvalidCastException*” }
針對 CVE-2021-26858 Exchange 任意文件寫入漏洞：
日志目錄：C:\ProgramFiles\Microsoft\ExchangeServer\V15\Logging\OABGeneratorLog
可通過以下命令進(jìn)行快速瀏覽，并檢查是否受到攻擊：
findstr/snip/c:”Download failed and temporary file” “%PROGRAMFILES%\Microsoft\Exchange Server\V15\Logging\OABGeneratorLog\*.log”
針對 CVE-2021-27065 Exchange 任意文件寫入漏洞:
通過以下powershell命令進(jìn)行日志檢測，并檢查是否遭到攻擊:
Select-String -Path “$env:PROGRAMFILES\Microsoft\Exchange Server\V15\Loggin
參考鏈接
- https://msrc-blog.microsoft.com/2021/03/02/multiple-security-updates-released-for-exchange-server/