CISA emite alerta urgente sobre ProxyShell em Exchange e recomenda aplicação imediata de patchs nos servidores, vulnerabilidade estaria sendo explorada ativamente.
A Agência de Segurança Cibernética e Infraestrutura dos Estados Unidos (CISA) emitiu um alerta para alertar os administradores a abordar vulnerabilidades ProxyShell exploradas ativamente em servidores Microsoft Exchange locais.
ProxyShell é o nome de três vulnerabilidades que podem ser encadeadas por um invasor remoto não autenticado para obter a execução de código em servidores Microsoft Exchange.
As três vulnerabilidades usadas em ataques ProxyShell são:
- CVE-2021-34473 – Pre-auth Path Confusion leva a ACL Bypass ( patcheado em abril por KB5001779 )
- CVE-2021-34523 – Elevação de privilégio no back-end do Exchange PowerShell (corrigido em abril por KB5001779 )
- CVE-2021-31207 – Post-auth Arbitrary-File-Write leva ao RCE ( patcheado em maio por KB5003435 )
As vulnerabilidades são exploradas remotamente por meio do Client Access Service (CAS) do Microsoft Exchange em execução na porta 443 no IIS.
As vulnerabilidades foram descobertas pelo pesquisador de segurança Tsai orange da Devcore, que recebeu US$ 200.000 pela descoberta durante o concurso de hacking Pwn2Own de abril de 2021. Orange Tsai deu uma palestra na conferência Black Hat e compartilhou detalhes sobre as vulnerabilidades do Microsoft Exchange.
Tsai explicou que a cadeia de ataques do ProxyShell tem como alvo vários componentes no Microsoft Exchange, incluindo o Serviço Autodiscover, que é usado por aplicativos cliente para se configurar com o mínimo de entrada do usuário.
“Atores cibernéticos mal-intencionados estão explorando ativamente as seguintes vulnerabilidades do ProxyShell: CVE-2021-34473, CVE-2021-34523 e CVE-2021-31207”, diz o alerta publicado pela CISA.“Um invasor que explora essas vulnerabilidades pode executar código arbitrário em uma máquina vulnerável. A CISA recomenda fortemente que as organizações identifiquem sistemas vulneráveis em suas redes e apliquem imediatamente a Atualização de Segurança da Microsoft de maio de 2021 – que corrige todas as três vulnerabilidades do ProxyShell – para se proteger contra esses ataques. ”
O popular especialista em segurança cibernética Kevin Beaumont foi um dos primeiros pesquisadores a identificar um ator de ameaça que tentava ter como alvo instalações do Microsoft Exchange.
Interesting thing I noticed in MailPot with Exchange servers – somebody has started targeting them using autodiscover.json, a detection avoidance and relatively undocumented feature it appears. pic.twitter.com/MOuTaoOQL2
— Kevin Beaumont (@GossiTheDog) August 2, 2021
Os agentes da ameaça começaram a escanear ativamente as falhas de execução remota de código do Microsoft Exchange ProxyShell depois que os pesquisadores divulgaram detalhes técnicos na conferência de hackers Black Hat.
Os agentes de ameaças primeiro comprometem um servidor Microsoft Exchange e, em seguida, exploram as falhas para soltar shells da web que podem ser usados para instalar e executar outras cargas maliciosas.
Depois de explorar um servidor Exchange, os agentes da ameaça soltaram shells da web que poderiam ser usados para carregar outros programas e executá-los.
Recentemente, uma nova gangue de ransomware chamada LockFile foi identificada como alvo de servidores Microsoft Exchange usando as vulnerabilidades ProxyShell divulgadas recentemente .
Especialistas em segurança da Symantec relataram que a gangue Lockfile primeiro compromete os servidores Microsoft Exchange e depois usa a vulnerabilidade PetitPotam para assumir o controle de um controlador de domínio.
Pesquisadores da empresa de segurança Huntress Labs descobriram mais de 140 shells da web implantados por invasores em mais de 1.900 servidores Microsoft Exchange comprometidos até a semana passada.
Keep your Exchange servers safe this weekend. @HuntressLabs has seen 140+ webshells across 1900+ unpatched boxes in 48hrs. Impacted orgs thus far include building mfgs, seafood processors, industrial machinery, auto repair shops, a small residential airport and more. #ProxyShell pic.twitter.com/clhQ0E5rnR
— Kyle Hanslovan (@KyleHanslovan) August 20, 2021
Fonte: Security Affairs
Veja também:
- Proteger a privacidade é um jogo perdido hoje, como mudar o jogo?
- Simulador de Ransomware, a sua rede é eficaz no bloqueio de ransomware?
- Hospital de Santa Catarina sofre ataque de Ransomware
- Uma VPN protege você de hackers?
- Lojas Renner fica fora do ar devido a ataque de Ransomware
- T-Mobile é invadida e hackers vazam informações de mais de 8 milhões de clientes
- Os riscos de segurança negligenciados da nuvem
- MPDFT promove iniciativas que ajudam a identificar situações de risco
- Vulnerabilidade PrintNightmare transformada em arma por Hackers
- Hacker tentam invadir o Tesouro Nacional
- Accenture é atingida por ataque de ransomware
- PAM ou Gerenciadores de Senhas? Qual a diferença?
Deixe sua opinião!