Los atacantes están aprovechando las vulnerabilidades de ProxyLogon y ProxyShell en Microsoft Exchange Server para secuestrar correos electrónicos, enviando spam como respuestas a los mismos.
Proxylogon es un conjunto de vulnerabilidades (CVE-2021-26855, CVE-2021-26857, CVE-2021-26858 y CVE-2021-27065) que realizan evasión del control de autenticación, escalamiento de privilegios y ejecución remota de código explotando fallas en el Exchange Web Services (EWS) API endpoint y en el Unified Messaging service del servidor Microsoft Exchange vulnerable.
Proxyshell es un conjunto de vulnerabilidades (CVE-2021-34473, CVE-2021-34523 y CVE-2021-31207) que también realizan evasión del control de autenticación, escalamiento de privilegios y ejecución remota de código con privilegios de administrador explotando fallas del componente Microsoft Client Access Servicie (CAS) que normalmente se encuentra activo en el puerto 443 ein IIS (Microsoft web server) del servidor Microsoft Exchange vulnerable.
A través de la explotación conjunta de las vulnerabilidades mencionadas los atacantes lograrían acceder al historial completo de correos electrónicos de la víctima conociendo solamente su dirección de correo electrónico.
Las versiones de Microsoft Exchange Server afectadas son las 2013, 2016 y 2019. Se recomienda instalar las actualizaciones del fabricante disponibles en medios oficiales del proveedor, previo análisis del impacto que podría provocar en los servicios críticos para el negocio de su organización. Para ello consulte con su personal técnico o áreas resolutorias correspondientes.
Referencias:
- https://threatpost.com/attackers-hijack-email-threads-proxylogon-proxyshell/176496/
- https://support.microsoft.com/en-us/topic/description-of-the-security-update-for-microsoft-exchange-server-2019-2016-and-2013-march-2-2021-kb5000871-9800a6bb-0a21-4ee7-b9da-fa85b3e1d23b
- https://www.radware.com/security/ddos-threats-attacks/threat-advisories-attack-reports/proxy-logon/
- https://www.cert.gov.py/noticias/explotacion-activa-de-vulnerabilidades-rce-proxyshell-en-microsoft-exchange
- https://www.cert.gov.py/wp-content/uploads/2022/02/BOL-CERT-PY-2021-04_Vulnerabilidades_criticas_0-day_en_Microsoft_Exchange.pdf