Microsoft Exchange 远程代码执行漏洞(ProxyNotShell)

来源: 投稿
2022-09-30 16:39:00

漏洞描述

Microsoft Exchange Server是美国微软(Microsoft)公司的一套电子邮件服务程序,提供邮件存取、储存、转发,语音邮件,邮件过滤筛选等功能。

GTSC监测发现Exchange存在在野利用的远程代码执行漏洞,ZDI编号为 ZDI-CAN-18333ZDI-18802, 具体漏洞细节暂未公开,其利用大致可观测到两个阶段:

1.与 ProxyShell 漏洞格式类似的请求: autodiscover/autodiscover.json?@evil.com/<Exchange-backend-endpoint>&Email=autodiscover/autodiscover.json%3f@evil.com

2.使用上面的链接访问可以实现 RCE 的后端组件。

攻击者可利用此漏洞远程执行代码,并在受感染的服务器上部署webshell实现持久化和数据盗窃,并横向移动到受害者网络上的其他系统。

漏洞名称 Microsoft Exchange 远程代码执行漏洞(ProxyNotShell)
漏洞类型 代码注入
发现时间 2022/9/30
漏洞影响广度 一般
MPS编号 MPS-2022-58471
CVE编号 -
CNVD编号 -

影响范围

Exchange Server@(-∞, 2019]

修复方案

  1. 在前端的自动发现中,选择选项卡 URL 重写,然后选择请求阻止。 2. 将字符串“ .autodiscover.json.@.Powershell. ”添加到 URL 路径。 3. 条件输入:选择 {REQUEST_URI}

参考链接

https://www.oscs1024.com/hd/MPS-2022-58471

https://doublepulsar.com/proxynotshell-the-story-of-the-claimed-zero-day-in-microsoft-exchange-5c63d963a9e9

https://gteltsc.vn/blog/warning-new-attack-campaign-utilized-a-new-0day-rce-vulnerability-on-microsoft-exchange-server-12715.html

https://www.zerodayinitiative.com/advisories/upcoming/#:~:text=by%3A%20Marcin%20Wiazowski-,ZDI%2DCAN%2D18333,-Microsoft

    

情报订阅

OSCS(开源软件供应链安全社区)通过最快、最全的方式,发布开源项目最新的安全风险动态,包括开源组件安全漏洞、事件等信息。同时提供漏洞、投毒情报的免费订阅服务,社区用户可通过配置飞书、钉钉、企业微信机器人,及时获得一手情报信息推送:

https://www.oscs1024.com/?src=osc

具体订阅方式详见:

https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc

展开阅读全文
3 收藏
分享
0 评论
3 收藏
分享
返回顶部
顶部