Uma nova vulnerabilidade foi encontrada no Microsoft Exchange Server 2013, 2016 e 2019. Essa nova vulnerabilidade é chamada PrivExchange e, na verdade, é uma vulnerabilidade de dia zero.

Explorando essa brecha na segurança, um invasor pode obter privilégios de administrador do Controlador de Domínio usando as credenciais de um usuário de caixa de correio do Exchange com a ajuda da ferramenta Python simples.

Essa nova vulnerabilidade foi destacada pelo pesquisador Dirk-Jan Mollema em seu blog pessoal, há uma semana. Em seu blog, ele divulga informações importantes sobre a vulnerabilidade de dia zero do PrivExchange.

Ele escreve que essa não é uma falha única, seja composta por três componentes que são combinados para aumentar o acesso de um invasor de qualquer usuário com uma caixa de correio ao administrador de domínio.

Essas três falhas são:

• Servidores Exchange têm (também) altos privilégios por padrão
• A autenticação NTLM é vulnerável a ataques de retransmissão
• O Exchange possui um recurso que o autentica para um invasor com a conta do computador do servidor Exchange.

Segundo o pesquisador, todo o ataque pode ser realizado usando as duas ferramentas denominadas privexchange.py e ntlmrelayx. No entanto, o mesmo ataque ainda é possível se um invasor não possuir as credenciais de usuário necessárias.

Nessas circunstâncias, o httpattack.py modificado pode ser utilizado com o ntlmrelayx para executar o ataque da perspectiva da rede sem credenciais.

Como atenuar as vulnerabilidades do Microsoft Exchange Server

Nenhum patch para corrigir essa vulnerabilidade de dia zero foi proposto pela Microsoft ainda. No entanto, no mesmo post, Dirk-Jan Mollema comunica algumas atenuações que podem ser aplicadas para proteger o servidor contra ataques.

As mitigações propostas são:

• Impedindo que servidores de troca estabeleçam relações com outras estações de trabalho
• Eliminando a chave de registro
• Implementando assinatura SMB em servidores Exchange
• Removendo privilégios desnecessários do objeto de domínio do Exchange
• Habilitando a Proteção Estendida para Autenticação nos pontos de extremidade do Exchange no IIS, excluindo os pontos de extremidade do Exchange, pois isso interromperia o Exchange).

Além disso, você pode instalar uma dessas soluções antivírus para o Microsoft Server 2013.

Os ataques do PrivExchange foram confirmados nas versões totalmente corrigidas dos controladores de domínio dos servidores Exchange e Windows, como Exchange 2013, 2016 e 2019.