Un'altra esecuzione di codice remoto in MS-Exchange
Ancora una volta, due gravi vulnerabilità hanno colpito Exchange Server di Microsoft: Con una gravità di 8,8 e 6,3 nel Common Vulnerability Score System, le vulnerabilità non ancora risolte (CVE-2022-41040 e CVE-2022-41082) rappresentano una minaccia per tutti i server che si affidano al sistema di posta elettronica Microsoft.
Poiché ora vengono sfruttate attivamente dagli aggressori, gli amministratori interessati devono assicurarsi di implementare immediatamente il workaround dal blog di Microsoft fino a quando il produttore non avrà corretto il problema. Le vulnerabilità erano già state scoperte alla fine di settembre dalla società di sicurezza GTSC, mentre si attende ancora una patch da parte di Microsoft.
Colpiti: Exchange 2013, 2016 e 2019
Sono interessate tutte le installazioni on-premise di Microsoft Exchange Server versioni 2013, 2016 e 2019, compresi i server completamente patchati e ben mantenuti. I clienti e i prodotti di grommunio non sono interessati da questa vulnerabilità.
Secondo quanto ammesso dal fornitore, la falla (ecco il rapporto BSI costantemente aggiornato) consente “l’esecuzione di codice remoto per gli account autenticati”, ovvero l’esecuzione di codice arbitrario tramite gli account utente. Il workaround raccomandato consiglia vivamente a tutti i clienti on-premise di Microsoft di disabilitare l’accesso remoto a Powershell (la riga di comando del sistema Windows) per gli utenti non privilegiati. Questo è attualmente l’unico modo per impedire agli aggressori di abusare di questi account e causare gravi danni al server o alla rete locale.
Le misure iniziali di Microsoft sono insufficienti
Gli esperti di sicurezza continuano a indagare sul problema e a condividere le loro scoperte principalmente su Twitter. L’hashtag associato è #proxynotshell, in riferimento ad altri incidenti di sicurezza di Exchange del 2021. Anche il consiglio adottato da BSI e Microsoft di “bloccare” tutti gli utenti non privilegiati da Powershell è arrivato via Twitter, dopo che la mitigazione inizialmente proposta da Microsoft non ha avuto successo.
Prova grommunio](/demo/) sul tuo server gratuitamente.
aggiornamento di ####
12. Ottobre: Contrariamente alle aspettative, Microsoft non ha fornito una patch per la vulnerabilità nel suo ultimo patchday (l’11 ottobre). Dopo i problematici workaround e dopo che gli hacker stanno già sfruttando attivamente le vulnerabilità, Microsoft si trova ora ad affrontare falle di sicurezza più gravi in Windows, Hyper-V e Office. Il blog post del Microsoft’s Security Response Center viene continuamente aggiornato dall’azienda statunitense, l’ultima voce risale al 9 ottobre.
