Deux vulnérabilités de sécurité trouvées dans Microsoft Exchange Server

Microsoft Exchange Server est un logiciel de collaboration et de gestion de messagerie utilisé par diverses entreprises pour intégrer des messages tels que des e-mails avec des calendriers, etc.

La première vulnérabilité a été identifiée comme CVE-2022-41040, qui est une vulnérabilité liée à la contrefaçon de requête côté serveur (SSRF).

“La deuxième vulnérabilité a été identifiée comme CVE-2022-41082 qui permet l’exécution à distance (RCE) lorsqu’un attaquant accède à PowerShell”, a déclaré Microsoft.

A lire aussi : Mozilla se sent discriminé par Apple, Google et Microsoft

Selon Microsoft, le bug CVE-2022-41040 ne peut être exploité que par un attaquant authentifié. Après avoir exploité la vulnérabilité, ils peuvent déclencher une autre vulnérabilité, à savoir CVE-2022-41082 RCE.

Malgré cette attaque, la société conseille aux clients d’Exchange Online de rester calmes et de ne rien faire, car Microsoft affirme avoir mis en place des systèmes de détection et d’atténuation pour protéger les clients.

« Microsoft surveille également les détections qui ont été mises en place pour les activités malveillantes et agira si nécessaire pour protéger les clients. Nous nous précipitons pour publier un correctif », déclare Microsoft.

La vulnérabilité zero-day de Microsoft Exchange Server a été initialement signalée par la société vietnamienne de cybersécurité GTSC. GTSC soupçonnait que le responsable de cette attaque était un groupe de hackers chinois.

Cette déclaration est basée sur les résultats d’une page de code de shell Web, à savoir le jeu de caractères Microsoft pour simplifier le chinois.

Le groupe de piratage aurait également utilisé l’outil chinois Antsword pour gérer le shell Web.

A lire aussi : Microsoft Teams peut désormais afficher les transcriptions traduites en temps réel

À cette fin, Microsoft conseille aux clients Microsoft Exchange sur site d’examiner et de mettre en œuvre les instructions de réécriture d’URL et de bloquer les ports PowerShell distants.

Comme mesure d’atténuation, Microsoft conseille également aux clients de bloquer les attaques avec les paramètres suivants : Gestionnaire IIS -> site Web par défaut -> détection automatique -> Réécriture d’URL -> Comportement. Le détail des étapes est le suivant :

• Ouvrez le menu Gestionnaire IIS
• Sélectionnez le site Web par défaut
• Choisissez la détection automatique
• Cliquez sur Réécriture d’URL dans la vue des fonctionnalités
• Dans le volet Actions, cliquez sur le menu Ajouter des règles
• Sélectionnez Demander le verrouillage et cliquez sur OK
• Ajoutez la chaîne « .*autodiscover\.json.*\@.*Powershell.* » (sans les guillemets), cliquez sur OK.
• En plus de String, sélectionnez également le paramètre avec Pattern « .*autodiscover\.json.*\@.*Powershell.* », cliquez sur Modifier sous Conditions.
• Modifiez la condition d’entrée de {URL} à {REQUEST_URI}

Microsoft conseille également aux administrateurs de bloquer les ports PowerShell distants HTTP : 5985 et HTTPS : 5986 pour empêcher cette attaque, comme compilé par KompasTekno de Bleeping Computer, dimanche (10/02/2022).