MICROSOFT EXCHANGE VICTIME DE NOMBREUSES VULNÉRABILITÉS CRITIQUES
Aucun lien avec des attaques connues, mais suffisamment dangereux pour nécessiter une correction.
Sources
Microsoft Blog - https://msrc-blog.microsoft.com/2021/03/02/multiple-security-updates-released-for-exchange-server/
IOCs et contexte (Microsoft, 8 mars 2021) - https://www.microsoft.com/security/blog/2021/03/02/hafnium-targeting-exchange-servers/
Questions: (Microsoft, 8 mars 2021 ) - https://techcommunity.microsoft.com/t5/exchange-team-blog/released-march-2021-exchange-server-security-updates/ba-p/2175901
Guide de réponse aux incidents (mise à jour par Microsoft le 16 mars 2021) : https://msrc-blog.microsoft.com/2021/03/16/guidance-for-responders-investigating-and-remediating-on-premises-exchange-server-vulnerabilities/
Risques
- Microsoft a détecté que de multiples exploits de type 0-day ont été utilisés pour attaquer les serveurs Microsoft Exchange dans le cadre d'attaques ciblées et limitées.
- Dans les attaques observées, l'acteur malveillant a utilisé ces vulnérabilités pour accéder aux serveurs Exchange locaux, accéder aux comptes de messagerie et installer des logiciels malveillants supplémentaires. L'objectif est de faciliter l'accès à long terme aux environnements des victimes. Tout cela est possible sans authentification.
- MISE À JOUR 16/03/2021 : Il a été déterminé que des parties malveillantes installent des web shells dans des systèmes vulnérables.
- Les organisations et les entreprises qui ne prennent pas de mesures peuvent être victimes de ransomware ou d'exfiltration de données.
Description
Microsoft a publié plusieurs mises à jour de sécurité pour le serveur Microsoft Exchange afin de remédier aux vulnérabilités exploitées à l’occasion d’attaques récentes limitées et ciblées.
Le rapport mentionne 4 des 7 vulnérabilités corrigées comme étant exploitées dans ces attaques.
CVE-2021-26855 est une vulnérabilité de type SSRF (Server-side request forgery) dans Exchange qui permettrait à l’acteur malveillant d’envoyer des requêtes HTTP arbitraires et de s’authentifier en tant que serveur Exchange.
CVE-2021-26857 est une vulnérabilité de désérialisation non sécurisée dans le service d’Unified Messaging. La désérialisation non sécurisée consiste en la désérialisation, par un programme, de données non fiables et contrôlables par l’utilisateur. Elle nécessite l’autorisation de l’administrateur ou une autre vulnérabilité à exploiter.
CVE-2021-26858 & CVE-2021-27065 sont des vulnérabilités d’écriture de fichiers arbitraires post-authentification dans Exchange. L’authentification est possible en exploitant la vulnérabilité SSRF CVE-2021-26855 ou en compromettant les identifiants d’un administrateur légitime.
Les CVE suivants n’ont pas de lien avec les attaques mais doivent également être corrigés : CVE-2021-26412, CVE-2021-26854 et CVE-2021-27078.
(Mise à jour, 16/03/2021): Il est important de faire la distinction entre configuration locale, hybride et en ligne de Microsoft Exchange. Un logiciel en configuration locale signifie qu’il est installé dans l’entreprise elle-même, sur ses propres ordinateurs et serveurs. Hybride signifie que le logiciel est installé dans l’entreprise ainsi qu'en ligne (dans le cloud). La cyberattaque Hafnium affecte ces deux configurations. Il n'y a aucun impact sur les entreprises dont les services Exchange sont entièrement dans le cloud Microsoft.
Atténuations
Ces vulnérabilités sont utilisées dans le cadre d’une attaque utilisant une chaîne de vulnérabilités. L’attaque initiale nécessite la capacité d’établir une connexion non sécurisée au port 443 du serveur Exchange.
On peut s’en prémunir en restreignant les connexions non sécurisées ou en mettant en place un VPN pour séparer le serveur Exchange de tout accès externe. L’utilisation de cette atténuation ne protégera que contre la partie initiale de l’attaque. D’autres parties de la chaîne de vulnérabilités peuvent être déclenchées si un acteur malveillant a déjà un accès ou parvient à convaincre un administrateur d’exécuter un fichier malveillant.
Mise à jour du 6 mars 2021 : https://msrc-blog.microsoft.com/2021/03/05/microsoft-exchange-server-vulnerabilities-mitigations-march-2021/
Le 8 mars 2021, Microsoft a publié une stratégie de mise à jour pour protéger temporairement les machines vulnérables jusqu'à ce que vous puissiez mettre à jour la dernière mise à jour critique (CU) de support et ensuite appliquer les mises à jour de sécurité (SU) disponibles.
Actions recommandées
Références
Webcast Microsoft: https://aka.ms/EMEAExchangeOOBMarch2021PM
présentation: https://aka.ms/ExOOB
Présentation 9 mars 2021: https://webcastdiag864.blob.core.windows.net/2021presentationdecks/March%202021%20Exchange%20Server%20Security%20Update%20-%20EN.pdf
Advanced hunting queries
- Microsoft Defender for Endpoint: https://github.com/microsoft/Microsoft-365-Defender-Hunting-Queries/
- Azur Sentinel: https://github.com/Azure/Azure-Sentinel/tree/master/Detections/MultipleDataSources/