Nueva vulnerabilidad de Día Cero en Microsoft Exchange Server explotada in the wild
INTRODUCCIÓN
Nueva vulnerabilidad de Día Cero de ejecución de código remota ProxyLogon está siendo usada para atacar Microsoft Exchange Server in the wild.
ANÁLISIS
Según el informe de GTSC, a principios de agosto de 2022, descubrieron que una infraestructura crítica estaba siendo atacada, concretamente su aplicación Microsoft Exchange. Al investigar el incidente, descubrieron que el ataque utilizaba una vulnerabilidad de seguridad de Exchange no publicada, una vulnerabilidad de Día Cero en Microsoft Exchange Server. El investigador señaló que la vulnerabilidad resulta ser tan crítica que permite al atacante ejecutar código de forma remota (RCE ) en el sistema comprometido.
Enviaron la vulnerabilidad a la Iniciativa de Día Cero (ZDI) para que trabajara con Microsoft y pudiera preparar un parche lo antes posible. La ZDI verificó y reconoció rápidamente dos fallos, cuyas puntuaciones CVSS son 8,8 y 6,3, relativos al exploit.
Versiones afectadas:
Todas
RECOMENDACIONES
Los investigadores de seguridad de GTSC sugieren estas medidas para evitar la explotación de la vulnerabilidad de Día Cero en servidores Exchange totalmente parcheados:
En Autodiscover en el FrontEnd seleccione la pestaña reescritura de URL, seleccione Bloqueo de Solicitudes
Añada la cadena ".autodiscover.json.\@.Powershell." a la ruta de la URL
Establezca la condición de entrada: Seleccione {REQUEST_URI}
REFERENCIAS
https://borncity.com/win/2022/09/30/exchange-server-werden-ber-0-day-exploit-angegriffen-29-sept-2022/
https://www.cyberkendra.com/2022/09/new-zero-day-on-microsoft-exchange.html
https://www.cronup.com/alerta-de-seguridad-nueva-vulnerabilidad-critica-para-microsoft-exchange-en-explotacion-activa-0-day-rce/