در هفته جاری یک گروه هکری چینی به نام HAFNIUM برای هدف قرار دادن سازمان های مختلف آمریکا از چهار آسیب پذیری zero-day در Microsoft Exchange برای دسترسی و سپس سرقت محتوای Mailbox کاربران استفاده کرده است. ضروریست مدیران شبکه گرامی سریعا تا قبل از نصب patch ها پورت 443 Exchange را بر روی اینترنت محدود کرده و patch های مربوطه را نصب نمایند.
https://www.microsoft.com/security/blog/2021/03/02/hafnium-targeting-exchange-servers/
مایکروسافت روز سه شنبه 2 مارچ 2021 به روزرسانی های اضطراری برای آسیب پذیری های مذکور منتشر کرده و از مشتریان خود می خواهد که هرچه سریعتر پچ ها را اعمال کنند. این پچ ها برای اکسچنج های 2013 الی 2019 منتشر شده است.
▪️ لیست این آسیب پذیری ها بدین شرح است :
CVE-2021-26855 : آسیب پذیری جعل درخواست سمت سرور
CVE-2021-26857 : آسیب پذیری حیاتی در سرویس Unified Messaging
CVE-2021-26858 : آسیب پذیری ایجاد یک فایل دلخواه پس از احراز هویت
CVE-2021-27065 : آسیب پذیری ایجاد یک فایل دلخواه پس از احراز هویت
خطرناکترین آسیب پذیری اجبار جعل درخواست سمت سرور SSRF است که منجر به دسترسی به سرور Microsoft Exchange شده و قابلیت سرقت محتوای کامل Mailbox میگردد. این آسیب پذیری نیاز به هیچگونه سطح دسترسی نداشته و صرفا با داشتن آدرس IP خارجی سرور Exchange قابل انجام میباشد.
نحوه استفاده از این آسیب پذیری ها توسط هکر : ارسال درخواست HTTP با روش POST حاوی پیلود XML SOAP توسط هکر به سمت API Exchange Web Services (EWS)، این درخواست SOAP که با استفاده از کوکی های خاص ساخته شده، احراز هویت را دور می زند و در نهایت درخواست مشخص شده در XML را اجرا می کند و به مهاجم اجازه می دهد تا هرگونه عملیات روی صندوق پستی کاربران را انجام دهد. درمرحله بعدی هکر با نصب Web Shell دسترسی خود را برای نفوذ به شبکه داخلی حفظ مینماید.
از آنجایی که شروع این حملات با پورت 443 روی سرور Exchange آغاز میشود الزامیست مدیران شبکه گرامی تا اطمینان کامل از پچ شدن این آسیب پذیری ، پورت 443 را بر روی اینترنت بسته یا محدود به VPN نمایند.