" title="Cloud700 IT博客


0

Microsoft Exchange任意用户伪造漏洞(CVE-2018-8581)

编辑:管理员/ 栏目:IT技术类 /发布于:2020年-6月-28日

■ 预警编号 NS-2019-0001

■ 危害等级 高,此漏洞可导致越权访问任意Exchange用户的邮件信息,结合特定的场景和其他安全问题可能实现权限提升,PoC及漏洞细节已公开。

漏洞概述

Microsoft Exchange 任意用户伪造漏洞(CVE-2018-8581):攻击经过身份认证后,利用该漏洞可以冒充任意账户,甚至可获得被冒用者的权限。目前针对此漏洞的PoC已经公开,微软尚未对此漏洞发布安全补丁,但在官方通告中给出了临时缓解方案,请相关用户尽快采取防护措施。

参考链接:

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2018-8581

https://www.zerodayinitiative.com/blog/2018/12/19/an-insincere-form-of-flattery-impersonating-users-on-microsoft-exchange

影响范围

受影响版本:

  • Microsoft Exchange Server 2010
  • Microsoft Exchange Server 2013
  • Microsoft Exchange Server 2016
  • Microsoft Exchange Server 2019

漏洞排查

注册表排查

用户可判断是否存在以下注册表项

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\DisableLoopbackCheck,

若存在且键值为1,则说明存在风险。

注:注册表项HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\DisableLoopbackCheck为身份验证环回检查,当其设置为1时,表示该项被禁用。

漏洞防护

目前微软还未对此漏洞发布相关的安全补丁,但在安全公告中给出了临时缓解方案,用户可通过删除注册表项DisableLoopbackCheck来实现对该漏洞的防护,具体操作方法如下:

以管理员权限打开命令提示符并执行如下命令:

reg delete HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Control \ Lsa / v DisableLoopbackCheck / f

删除后无需重启系统或Exchange Server,即可生效。实事证明,删除注册表项并无法阻止漏洞被利用,而是应该清空该注册表项的值,即该注册表项值为0。

另:为确保服务稳定运行,用户可在执行上述注册表项删除命令前对注册表进行备份,具体步骤如下:

  • 键入“Windows”+“R”,输入“exe”打开注册表编辑器。

2、点击“文件”->“导出”,将注册文件进行备份保存。

漏洞简析

此漏洞是由SSRF漏洞与其他漏洞结合利用而造成,Exchange允许任何用户构造所需URL推送订阅(Push Subscription),服务器将尝试向构造的URL发送通知。由于Exchange使用CredentialCache.DefaultCredentials实现连接,而在Exchange Web Server(EWS)中,CredentialCache.DefaultCredentials在NT AUTHORITY\SYSTEM上运行,导致Exchange Server发送NTLM hashes至攻击者邮箱。

同时,由于Exchange服务器默认设置HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\DisableLoopbackCheck = 1,导致攻击者可使用该NTLM hashes进行HTTP认证。例如利用NTLM hashes登录EWS。由于其具有NT AUTHORITY\SYSTEM权限,攻击者可与TokenSerializationRight进行“特权”会话,然后利用SOAP头部模拟任何想要伪装的用户。

注:

  • NT AUTHORITY\SYSTEM为系统内置账号,对本地系统拥有完全控制权限;在工作组模式下,该账户不能访问网络资源;通常用于服务的运行,不需要密码。

本文由“Cloud700 IT博客 > 管理员”整理编辑。


未注明为原创的文章以及每篇文章的评论内容都不代表本站观点,本站不对此内容的真实性及言论负责。如您发表评论意见,视为同意本站记录言论您的来源IP地址信息及发表时间。

如果喜欢这篇文章,欢迎订阅Cloud700 IT博客以获得最新内容。

已经有 0 条群众意见