V serveroch Microsoft Exchange sa vyskytuje aktívne zneužívaná závažná zraniteľnosť

11. novembra 2021

Spoločnosť Microsoft urguje používateľov, aby si aktualizovali svoje Exchange servery z dôvodu výskytu závažnej zraniteľnosti, ktorá je aktívne zneužívaná. Zneužitím môže dôjsť k vzdialenému vykonaniu ľubovoľného kódu autentifikovaným útočníkom v zraniteľnom systéme.

Opis činnosti

CVE-2021-42321

V serveroch Microsoft Exchange sa vyskytuje závažná zraniteľnosť CVE-2021-42321, ktorá je aktívne zneužívaná útočníkmi. CVSS skóre tejto zraniteľnosti je 8,8 a objavilo ju centrum Microsoft Threat Intelligence Center (MSTIC). Spomenutá tiež bola na Tianfu Cup v Číne minulý mesiac.

Jedná sa o post-autentizačnú zraniteľnosť, ktorá umožňuje autentifikovaným útočníkom vzdialene vykonávať ľubovoľný kód v zraniteľnom systéme. Zraniteľnosť sa týka konkrétne produktov Microsoft Exchange Server 2016 a Microsoft Exchange Server 2019. Chyba ovplyvňuje len lokálne servery, vrátane tých, ktoré fungujú v režime Exchange Hybrid. Súvisí s nesprávnym overovaním argumentov v príkazoch (cmdlet-och) používaných v Powershell.

Na kontrolu, či sa na vašom Exchange serveri pokúšali útočníci zneužiť túto zraniteľnosť, stačí v Powershell spustiť nasledujúci príkaz, ktorý skontroluje špecifické udalosti v Event Logu:

Get-EventLog -LogName Application -Source „MSExchange Common“ -EntryType Error | Where-Object { $_.Message -like „*BinaryFormatter.Deserialize*“ }