Security Week 46: новая уязвимость в Exchange Server

На прошлой неделе, 9 ноября, компания Microsoft выпустила очередной набор патчей для собственных продуктов. Он закрывает 55 уязвимостей, из них 6 критических. Особое внимание уделено новой уязвимости в почтовом сервере Microsoft Exchange. Уязвимость CVE-2021-42321 ( описание на сайте производителя, статья в BleepingComputer) оценивается в 8,8 балла по шкале CVSSv3 и позволяет выполнять произвольный код на сервере. Уязвимость работает после авторизации на сервере и уже используется в таргетированных атаках.



Уязвимости подвержены серверы Microsoft Exchange версий 2013, 2016 и 2019, работающие на стороне заказчика. Облачный вариант сервиса Exchange Online вне опасности. Проблема была обнаружена в процессе валидации команд в Exchange Powershell, средстве автоматизации работы с сервером. Еще одна серьезная уязвимость закрыта на прошлой неделе в Microsoft Excel. CVE-2021-42292 позволяет обходить встроенные средства защиты и выполнять произвольный код при открытии документа.

Помимо этого, на прошлой неделе был опубликован Proof of Concept эксплойта для уязвимости CVE-2021-34484 . Данная уязвимость изначально была закрыта в пользовательских и серверных версиях Windows еще в августе этого года. Тогда считалось, что это неопасная уязвимость, позволяющая удалять произвольные папки на жестком диске. Для ее эксплуатации требовался локальный доступ к компьютеру, который в принципе и так позволяет удалять данные. Исследователь Абдельхамид Насери (Abdelhamid Naceri) нашел возможность использовать баг для повышения привилегий в системе, а заодно обнаружил и способ обхода ранее выпущенного патча.

Что еще произошло

12 ноября с почтового сервера ФБР было разослано фейковое сообщение о «кибератаке». Журналист Брайан Кребс (Brian Krebs) приводит версию самого взломщика: по его словам, он эксплуатировал уязвимость в системе регистрации новых пользователей для одного из сервисов ФБР. Через веб-интерфейс он смог инициировать отправку сообщений с почтового сервера, подставляя собственные данные в поле «тема» и в тело письма.

Эксперты «Лаборатории Касперского» анализируют последствия посещения веб-сайтов, обещающих бесплатный доступ к популярным стриминговым платформам. Чаще всего рекламируется доступ к Netflix, хотя самое популярное телешоу у мошенников от другого поставщика — «Мандалорец». Результатом посещения такого ресурса может стать как потеря средств в результате кражи платежных данных, так и установка трояна на компьютер.

Свежее вредоносное ПО для атаки на роутеры BotenaGo написано на языке Golang и включает более 30 эксплойтов для популярных устройств.

Эксперт по парольным утечкам Трой Хант (Troy Hunt) приводит примеры Beg Bounty — попыток получить деньги от владельца ресурса за обнаружение тривиальных «уязвимостей» вроде отсутствия записи DMARC. Он называет это откровенно вредным явлением, так как подобные запросы отвлекают от реально серьезных проблем. И обращает внимание на необходимость публикации контактов для передачи информации о (настоящих) уязвимостях.