УЯЗВИМОСТЬ PROXYTOKEN ПОЗВОЛЯЕТ ВОРОВАТЬ ПОЧТУ ЧЕРЕЗ MICROSOFT EXCHANGE
В Microsoft Exchange обнаружили опасную уязвимость, получившую название ProxyToken. Атакующий может воспользоваться этой проблемой, создавая запросы к веб-сервисам Exchange Control Panel (ECP) и похищая сообщения из почтового ящика жертвы. Исходно проблему обнаружил специалист VNPT ISC, который еще в марте 2021 года сообщил о ней экспертам Trend Micro Zero-Day Initiative (ZDI).
ProxyToken получила идентификатор CVE-2021-33766 и дает неаутентифицированным злоумышленникам доступ к настройкам почтовых ящиков пользователей, где они могут создать правило пересылки почты. В результате все письма будут доставлены не только пользователю, но и учетной записи, которую контролирует злоумышленник.
Как оказалось, корень проблемы заключается том, что фронтэнд-сайт Microsoft Exchange (Outlook Web Access, Exchange Control Panel) в основном работает как прокси для бэкэнда (Exchange Back End), которому передает запросы аутентификации. В установках Exchange, где активна функция Delegated Authentication, фронтэнд пересылает бэкэнду запросы, требующие аутентификации, и тот идентифицирует их по наличию файла cookie SecurityToken. Если в запросе /ecp присутствует непустой файл cookie SecurityToken, фронтэнд делегирует решение об аутентификации бэкэнду.
Однако конфигурация Microsoft Exchange по умолчанию не загружает для бэкэнда ECP-модуль, ответственный за делегирование процесса валидации (DelegatedAuthModule). В итоге запросы, содержащие непустой файл cookie с именем SecurityToken, которые перенаправляются с фронтэнда бэкэнду, не аутентифицируются, а ответы с ошибкой HTTP 500 раскрывают canary-токен Exchange Control Panel.
Патч для проблемы ProxyToken был выпущен Microsoft еще в июле, и еще тогда уязвимость была признана некритичной, ведь для успешной атаки злоумышленнику нужна учетная запись на том же сервере Exchange, где находится жертва.
Однако теперь специалисты Zero-Day Initiative раскрыли технические подробности о проблеме и отмечают, что некоторые администраторы Exchange настраивают свои серверы таким образом, что возможно создать правило для пересылки почты в произвольное место, и в таких случаях злоумышленнику не понадобятся учетные данные.
Хотя технические детали ProxyToken были опубликованы только сейчас, попытки использования уязвимости были зафиксированы еще три недели назад. По словам Рича Уоррена из NCC Group, 10 августа он был свидетелем множества попыток эксплуатации этой проблемы.
Источник: xakep.ru
______________________
PROXYTOKEN ОСАЛДЫҒЫ ПОШТАНЫ MICROSOFT EXCHANGE АРҚЫЛЫ ҰРЛАУҒА МҮМКІНДІК БЕРЕДІ
Microsoft Exchange-де қауіпті ProxyToken деген атауға ие болған осалдық айқындалды. Шабуыл жасаушы осы проблеманы Exchange Control Panel (ECP) веб-сервистеріне сұрау салулар жасай отырып, құрбанның пошта жәшігінен хабарламаларды ұрлап, пайдалана алады. Бастапқыда проблеманы VNPT ISC маманы айқындап, ол туралы Trend Micro Zero-Day Initiative (ZDI) сарапшыларына 2021 жылдың наурыз айында хабарлаған болатын.
ProxyToken CVE-2021-33766 сәйкестендіргішін иеленіп, аутентификациядан өтпеген зиянкестерге пайдаланушылардың пошта жәшіктерінің баптауларына қолжетімділік береді де олар онда поштаны қайта жіберу қағидатын құра алады. Нәтижесінде барлық хаттар тек пайдаланушыға емес, зиянкестің бақылауындағы есептік жазбаға да жеткізіледі.
Проблеманың түп-тамыры Microsoft Exchange (Outlook Web Access, Exchange Control Panel) фронтэнд-сайты негізінен аутентификацияға сұрау салуларды жіберетін бэкэндке (Exchange Back End) арналған прокси ретінде жұмыс істейтінінде болып шықты. Delegated Authentication функциясы белсенді болатын Exchange қондырғыларында фронтэнд аутентификацияны талап ететін сұрау салуларды бэкэндке қайта жібереді де ол оларды cookie SecurityToken файлы болған кезде сәйкестендіреді. Егер сұрау салуда/ecp бос емес cookie SecurityToken файлы болса, фронтэнд аутентификация туралы шешімді бэкэнд-ке жібереді.
Алайда, Microsoft Exchange конфигурациясы бэкэнд үшін валидация (DelegatedAuthModule) процесін жіберуге жауапты ECP-модулін әдепкі қалпы бойынша жүктемейді. Қорытындысында SecurityToken атауымен бос емес cookie файлын қамтитын фронтэнд-тен бэкэнд-ке қайта жіберілетін сұрау салулар аутентификациядан өтпейді, ал HTTP 500 қатесі бар жауаптар
Exchange Control Panel canary-токенін жария етеді.
ProxyToken проблемасына арналған патчты Microsoft шілде айында шығарып, осалдық сол уақытта аса маңызды емес деп танылған. Себебі зиянкеске сәтті шабуыл жасау үшін құрбан орналасқан сол сервердегі есептік жазба керек.
Дегенмен, Zero-Day Initiative мамандары енді проблема туралы техникалық егжей-тегжейліктерді ашып, Exchange кейбір әкімшілері өздерінің серверлерін поштаны қайта жіберу үшін қағиданы еркін орында құруға мүмкіндік туғыза баптайтынын және мұндай жағдайларда зиянкеске есептік деректер керек болмайтынын атап көрсетуде.
ProxyToken техникалық тетіктері қазіргі уақытта жарияланғанымен, осалдықты пайдалану әркеттері үш апта бұрын тіркелген болатын. NCC Group-тағы Рича Уорреннің айтуынша, 10 тамызда ол осы проблеманы пайдаланудың көптеген әрекетінің куәгері болған.
Ақпарат көзі: xakep.ru
