Sec Hotspot 首页  友情链接  收藏本站  技术博客  RSS
统计信息
已收录文章数量:13935 篇
已收录公众号数量:68 个
本站文章为爬虫采集,如有侵权请告知
本周热门文章
分享图片   2021.04.14 16:51:17  312
Chrome V8 RCE 0day之WeChatWeb   2021.04.17 16:40:17  131
面试官常考的 21 条 Linux 命令   2021.04.12 08:00:59  109
Windows手工入侵排查思路   2021.04.13 08:00:49  93
近期CNVD重大漏洞汇总   2021.04.15 18:20:29  69
【漏洞预警】Microsoft Exchange多个高危漏洞(CVE-2021-26855等)
本文来自公众号:阿里云先知   2021.03.03 10:23:51

2021年03月3日,阿里云应急响应中心监测发现微软发布了Microsoft Exchange安全更新,披露了多个高危严重漏洞。

01

漏洞描述

Exchange Server 是微软公司的一套电子邮件服务组件,是个消息与协作系统。2021年03月3日,微软官方发布了Microsoft Exchange安全更新,披露了多个高危严重漏洞,其中:

1、在 CVE-2021-26855 Exchange SSRF漏洞中,攻击者可直接构造恶意请求,以Exchange server的身份发起任意HTTP请求,扫描内网,并且可获取Exchange用户信息。该漏洞利用无需身份认证。

2、在 CVE-2021-26857 Unified Messaging service 反序列化漏洞中,攻击者可构造恶意请求,触发反序列化漏洞,从而执行任意代码。成功利用该漏洞需要Exchange administrator权限,或需要配合其他漏洞。

3、在 CVE-2021-26858 / CVE-2021-27065 Exchange 任意文件写入漏洞中,攻击者可结合CVE-2021-26855 SSRF漏洞,或提供正确的administrator凭证,构造恶意请求,在系统上写入任意文件。

阿里云应急响应中心建议 Microsoft Exchange 用户修复漏洞。

02

漏洞评级

CVE-2021-26855 高危

CVE-2021-26857 高危

CVE-2021-26858 高危

CVE-2021-27065 高危

03

影响版本

Microsoft Exchange 2013

Microsoft Exchange 2016

Microsoft Exchange 2019

Microsoft Exchange 2010

04

安全建议


1、微软官方已针对该批漏洞发布相关安全更新补丁,可按照以下链接进行升级:

CVE-2021-26855 https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-26855

CVE-2021-26857 https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-26855

CVE-2021-26858 https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-26855

CVE-2021-27065 https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-26855


2、若无法直接升级,可参考如下措施来检测是否受到攻击:

针对CVE-2021-26855 Exchange SSRF漏洞 ,可以通过以下Exchange HttpProxy日志进行检测:


%PROGRAMFILES%\Microsoft\Exchange Server\V15\Logging\HttpProxy



通过以下Powershell可直接进行日志检测,并检查是否受到攻击:

Import-Csv -Path (Get-ChildItem -Recurse -Path “$env:PROGRAMFILES\Microsoft\Exchange Server\V15\Logging\HttpProxy” -Filter ‘*.log’).FullName | Where-Object {  $_.AuthenticatedUser -eq ” -and $_.AnchorMailbox -like ‘ServerInfo~*/*’ } | select DateTime, AnchorMailbox



如果检测到了入侵,可以通过以下目录获取攻击者采取了哪些活动


%PROGRAMFILES%\Microsoft\Exchange Server\V15\Logging




针对 CVE-2021-26857 Unified Messaging service 反序列化漏洞

该漏洞单独利用难度稍高,可利用以下命令检测日志条目,并检查是否受到攻击。


Get-EventLog -LogName Application -Source “MSExchange Unified Messaging” -EntryType Error | Where-Object { $_.Message -like “*System.InvalidCastException*” }




针对 CVE-2021-26858 Exchange 任意文件写入漏洞

日志目录:C:\ProgramFiles\Microsoft\ExchangeServer\V15\Logging\OABGeneratorLog

可通过以下命令进行快速浏览,并检查是否受到攻击:

findstr /snip /c:”Download failed and temporary file” “%PROGRAMFILES%\Microsoft\Exchange Server\V15\Logging\OABGeneratorLog\*.log”




针对 CVE-2021-27065 Exchange 任意文件写入漏洞 :

通过以下powershell命令进行日志检测,并检查是否遭到攻击:


Select-String -Path “$env:PROGRAMFILES\Microsoft\Exchange Server\V15\Loggin


05

相关链接

1、https://msrc-blog.microsoft.com/2021/03/02/multiple-security-updates-released-for-exchange-server/

2、https://www.microsoft.com/security/blog/2021/03/02/hafnium-targeting-exchange-servers/