Origine: bjCSIRT
Numéro: 2021/ALERTE/038
Date de l’alerte: 02/09/2021
APERÇU :
La vulnérabilité, surnommée « ProxyToken », affectant Microsoft Exchange Server est une faille liée à la divulgation d’informations qui pourrait révéler les informations personnelles des victimes et les données sensibles de l’entreprise.
Ayant un impact grave, son exploitation permettrait à un attaquant non authentifié de modifier les configurations serveur, conduisant ainsi au vol des e-mails contenus dans les boîtes de réception et à la divulgation d’informations personnelles des utilisateurs.
DESCRIPTION :
Le défaut de sécurité de la vulnérabilité libellée CVE-2021-33766, réside dans une fonctionnalité de Microsoft Exchange appelée « Delegated Authentication », qui fait référence à un mécanisme par lequel le client Outlook Web Access (OWA) transmet les demandes d’authentification directement au backend lorsqu’il détecte la présence d’un cookie « SecurityToken ». Avec cette vulnérabilité, un attaquant non authentifié peut effectuer des actions de configuration sur des boîtes de messagerie appartenant à des utilisateurs arbitraires. L’objectif serait de copier tous les e-mails adressés à un compte ciblé et les transférer vers un compte contrôlé par l’attaquant.
Toutefois, l’exploitation de la vulnérabilité ProxyToken nécessite que chaque requête vers une page « /ecp » présente un ticket connu sous le nom de « ECP canary ». En l’absence de ce ticket, la requête reviendra avec une erreur « HTTP 500 ». Ainsi, la réponse d’erreur « HTTP 500 » accompagnée d’un ticket valide pourrait être utilisé pour émettre une requête non authentifiée.
IMPACT :
- Compromission du serveur Exchange
- Exposition de données sensibles
SYSTEMES AFFECTÉS :
- Microsoft Exchange Server 2013
- Microsoft Exchange Server 2016
- Microsoft Exchange Server 2019
MESURES À PRENDRE :
Il est fortement recommandé d’installer les mises à jour de sécurité de Juillet 2021 de Microsoft.
REFERENCES :
- https://www.zerodayinitiative.com/blog/2021/8/30/proxytoken-an-authentication-bypass-in-microsoft-exchange-server
- https://www.bleepingcomputer.com/news/security/microsoft-exchange-proxytoken-bug-can-let-hackers-steal-user-email/
- https://thehackernews.com/2021/08/new-microsoft-exchange-proxytoken-flaw.html
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-33766
Partagez sur vos réseaux.