CVE-2022-41040 / CVE-2022-41082 : 0day dans Microsoft Exchange

Mises à jour 2022-10-04

• Censys a ajouté un risque pour les clients Censys ASM pour les hôtes exécutant une version vulnérable d'Exchange (Déployé le 2022-10-03)

Mises à jour 2022-10-03

• Il n'y a toujours pas de correctif officiel de la part de Microsoft, mais l'entreprise a publié un guide d'atténuation.
• La vulnérabilité a été signalée comme affectant : Exchange Server 2013, 2016 et 2019

Des rapports faisant état d'une vulnérabilité récemment découverte dans les services Microsoft Exchange ont été mis en lumière sans qu'aucune correction officielle n'ait été apportée à la date du 30 septembre 2022. Les chercheurs de la société de sécurité GTSC ont d'abord publié une série d'analyses et d'indicateurs de compromission (IOC) pour trouver des signes d'une nouvelle campagne d'attaque de type "zero-day" qui visait leurs clients.

La même nuit que la publication du GTSC, Microsoft a annoncé qu'elle avait confirmé deux nouveaux exploits actuellement suivis comme CVE-2022-41040 et CVE-2022-41082. Le premier CVE, CVE-2022-41040, est une vulnérabilité de falsification de requête côté serveur qui peut être exploitée avec CVE-2022-41082 pour réaliser une exécution de code à distance (RCE).

Microsoft a également déclaré être au courant d'attaques ciblées utilisant ces exploits dans la nature. Cela signifie qu'il existe actuellement une campagne active visant à compromettre les hôtes vulnérables.

Microsoft a également noté que pour que l'une ou l'autre de ces vulnérabilités puisse être exploitée avec succès, l'attaquant doit disposer d'une certaine forme d'informations d'identification valides.

Mise à jour 2022-10-03

Bien qu'il n'y ait pas eu de correctif officiel pour cette vulnérabilité au 2022-10-03, Microsoft a publié un guide d'atténuation que le lecteur peut trouver ici. le lecteur peut trouver ici.

Nous avons créé un tableau de bord interactif pour suivre ces services Microsoft Exchange avec Censys scan data. Cette vulnérabilité a été signalée comme fonctionnant sur les services suivants :

•  Exchange Server 2013
•  Exchange Server 2016
•  Exchange Server 2019.

Actuellement, la meilleure façon d'identifier ces serveurs Exchange à l'aide de Censys est d'utiliser la requête de recherche suivante :

same_service(services.http.response.favicons.name: */owa/auth/*  and  services.http.response.html_title={“Outlook Web App”, “Outlook”})

Censys Les clients d' ASM auront désormais accès à un nouveau risque couvrant ces deux vulnérabilités.