هشدار به کاربران Exchange درباره ProxyShell

کمیته رکن چهارم – کارشناسان امنیت سایبری ضمن هشدار به کاربران Exchange می‌گویند که مهاجمان در حال پویش سرورهای Exchange آسیب‌پذیر به ProxyShell هستند.

کارشناسان امنیت سایبری ضمن هشدار به کاربران Exchange می‌گویند که مهاجمان در حال پویش سرورهای Exchange آسیب‌پذیر به ProxyShell هستند.

بررسی‌ها نشان می‌دهد که مهاجمان در حال پویش سرورهای Exchange آسیب‌پذیر به ProxyShell هستند. این پویش‌ها در حالی انجام می‌شود که برخی جزئیات فنی آسیب‌پذیری‌های ProxyShell در جریان کنفرانس Black Hat ارائه شد. ProxyShell عنوانی است که به مجموعه سه آسیب‌پذیری زیر اطلاق می‌شود:

• CVE-۲۰۲۱-۳۴۴۷۳ – که ضعفی از نوع Remote Code Execution است و در ۲۲ تیر ۱۴۰۰ توسط مایکروسافت وصله شد.
• CVE-۲۰۲۱-۳۴۵۲۳ – که ضعفی از نوع Elevation of Privilege است. این آسیب‌پذیری نیز در ۲۲ تیر ۱۴۰۰ توسط مایکروسافت وصله شد.
• CVE-۲۰۲۱-۳۱۲۰۷ – ضعفی از نوع Security Feature Bypass است و در ۲۱ اردیبهشت ۱۴۰۰ توسط مایکروسافت وصله شد.

زنجیره آسیب‌پذیری‌‌های ProxyShell از راه دور و از طریق Client Access Service (به‌اختصار CAS) در Microsoft Exchange بدون نیاز به هرگونه احرازهویت بر روی پورت ۴۴۳ در IIS صورت می‌گیرد. پس از اکسپلویت آسیب‌پذیری، مهاجم دسترسی اجرای کد از راه دور را بر روی Microsoft Exchange به‌دست‌می‌آورد.

محقق کاشف ProxyShell روز ۱۴ مرداد در جریان کنفرانس Black Hat اطلاعاتی در مورد نحوه کشف آن ارائه کرد. در بخشی از این ارائه، اشاره شد که هدف یکی از مولفه‌های زنجیره حمله ProxyShell، سرویس Autodiscover در Exchange است. Autodiscover سازوکاری است که از سوی مایکروسافت به‌منظور تسهیل پیکربندی خودکار نرم‌افزارهای مدیریت ایمیل با حداقل دخالت کاربر معرفی شده است.

پیش‌تر نیز برخی کارشناسان گزارش کرده بودند که مهاجمان با روش‌هایی در تلاش هستند تا با سوءاستفاده از Autodiscover، سرورهای آسیب‌پذیر به ProxyShell را شناسایی کنند. درحالی‌که تلاش‌های اولیه مهاجمان موفق نبود، به نظر می‌رسد با انتشار جزئیات فنی بیشتر در روزهای گذشته، اکنون مهاجمان با الگوهایی جدید در حال کشف سرورهای آسیب‌پذیر هستند

سرورهای Exchange در بسیاری مواقع هدف مهاجمان با انگیزه‌های مختلف قرار داشته‌اند. ازجمله می‌توان به اجرای حملات سایبری و انتشار چندین بدافزار مخرب از طریق سوءاستفاده از آسیب‌پذیری ProxyLogon در این سرورها اشاره کرد.

نظر به وصله شدن ضعف‌های امنیتی ProxyShell از سوی مایکروسافت و باتوجه ‌به تلاش مهاجمان در شناسایی سرورهای آسیب‌پذیر، کارشناسان امنیتی مرکز مدیریت راهبردی افتا به کلیه راهبران Exchange توصیه کرده‌اند که در اسرع‌ وقت نسبت به نصب آخرین به‌روزرسانی‌های Cumulative Update اقدام کنند.

منبع: مرکز مدیریت راهبردی افتا