Un "error de diseño" en el protocolo de detección automática (AutoDiscover) de Microsoft Exchange fue objeto de una investigación por parte de los investigadores que descubrieron que podían recolectar credenciales de dominio. Simplemente registrando los dominios autodiscover.tld (top level domain) los investigadores pudieron recolectar casi 100.000 credenciales de inicio de de sesión. El error había sido notificado anteriormente a Microsoft, que hizo caso omiso.

 Error de Microsoft Exchange expone ~ 100,000 credenciales de dominio de Windows

Amit Serper, publicó los resultados de un análisis de Autodiscover, un protocolo utilizado para autentiarse en los servidores de Microsoft Exchange y para configurar el acceso de los clientes.

• https://www.guardicore.com/labs/autodiscovering-the-great-leak/

Hay diferentes iteraciones del protocolo disponibles para su uso. Guardicore exploró una implementación de Detección automática basada en POX XML y encontró un "fallo de diseño" que puede explotarse para 'filtrar' solicitudes web a dominios de Detección automática fuera del dominio de un usuario, siempre que estén en el mismo dominio de nivel superior (TLD ).

Para probar el protocolo, el equipo primero registró y compró varios dominios con un sufijo de TLD, incluidos Autodiscover.com.br, Autodiscover.com.cn, Autodiscover.com.fr y Autodiscover.com.uk, etc. .

Luego, estos dominios se asignaron a un servidor web de Guardicore, y los investigadores dicen que "simplemente estaban esperando que llegaran las solicitudes web de varios puntos finales de detección automática".

El procedimiento de "retroceso" se describe como el "culpable" de la filtración, ya que las fallas en la resolución de URL basadas en direcciones de correo electrónico proporcionadas por el usuario y analizadas darán como resultado una "falla":

"Es decir, el resultado del próximo intento de crear una URL de detección automática sería: http://Autodiscover.com/Autodiscover/Autodiscover.xml", explicaron los investigadores. "Esto significa que quien sea el propietario de Autodiscover.com recibirá todas las solicitudes que no puedan llegar al dominio original. [...] Para nuestra sorpresa, comenzamos a ver cantidades significativas de solicitudes para Autodiscover endpoints de varios dominios, direcciones IP y clientes. . "

En total, Guardicore pudo capturar 372,072 credenciales de dominio de Windows y 96,671 conjuntos únicos de credenciales de fuentes como Microsoft Outlook y clientes de correo electrónico entre el 16 de abril y el 25 de agosto de 2021. Algunos conjuntos se enviaron mediante autenticación básica HTTP.
 

"Este es un problema de seguridad grave, ya que si un atacante puede controlar dichos dominios o tiene la capacidad de 'olfatear' el tráfico en la misma red, puede capturar las credenciales del dominio en texto sin formato (autenticación básica HTTP) que se transfieren a través del cable. ", Dijo Amit Serper de Guardicore en un informe técnico.

"Además, si el atacante tiene capacidades de envenenamiento de DNS a gran escala (como un atacante de estado-nación), podría desviar sistemáticamente contraseñas con fugas a través de una campaña de envenenamiento de DNS a gran escala basada en estos TLD de detección automática [dominios de nivel superior ]. "


La vulnerabilidad descubierta por Guardicore reside en una implementación específica de Detección automática basada en el protocolo XML POX (también conocido como "XML simple y antiguo") que hace que las solicitudes web a los dominios de Detección automática se filtren fuera del dominio del usuario pero en el mismo dominio de nivel superior .

En un ejemplo hipotético en el que la dirección de correo electrónico de un usuario es "usuario@example.com", el cliente de correo electrónico aprovecha el servicio Detección automática para construir una URL para obtener los datos de configuración utilizando cualquiera de las siguientes combinaciones del dominio de correo electrónico, un subdominio y un cadena de ruta, en su defecto instancia un algoritmo de "retroceso" -

•     https://Autodiscover.example.com/Autodiscover/Autodiscover.xml
•     https://Autodiscover.example.com/Autodiscover/Autodiscover.xml
•     https://example.com/Autodiscover/Autodiscover.xml
•     https://example.com/Autodiscover/Autodiscover.xml

"Este mecanismo de 'retroceso' es el culpable de esta filtración porque siempre intenta resolver la parte de detección automática del dominio y siempre intentará 'fallar', por así decirlo", explicó Serper. "Es decir, el resultado del próximo intento de crear una URL de detección automática sería: 'https://Autodiscover.com/Autodiscover/Autodiscover.xml'. Esto significa que quien sea el propietario de Autodiscover.com recibirá todas las solicitudes que no puedan llegar al dominio original ".
Evite las filtraciones de datos

Armado con este descubrimiento y al registrar varios dominios de nivel superior de detección automática (por ejemplo, Autodiscover.com [.] Br, Autodiscover.com [.] Cn, Autodiscover [.] In, etc.) como honeypots, Guardicore dijo que era capaz de acceder a solicitudes a puntos finales de detección automática de diferentes dominios, direcciones IP y clientes, obteniendo 96,671 credenciales únicas enviadas desde Outlook, clientes de correo electrónico móvil y otras aplicaciones que interactúan con el servidor Exchange de Microsoft durante un período de cuatro meses entre el 16 de abril de 2021 y 25 de agosto de 2021.

Los dominios de esas credenciales filtradas pertenecían a varias entidades de múltiples verticales que abarcan corporaciones que cotizan en bolsa en China, bancos de inversión, fabricantes de alimentos, plantas de energía y firmas inmobiliarias, señaló la compañía de ciberseguridad con sede en Boston.

Para empeorar las cosas, los investigadores desarrollaron un ataque de "viejo cambio" que implicaba enviar una solicitud al cliente para que cambiara a un esquema de autenticación más débil (es decir, autenticación HTTP básica) en lugar de métodos seguros como OAuth o NTLM, lo que provocó el correo electrónico aplicación para enviar las credenciales del dominio en texto sin cifrar.

"A menudo, los atacantes intentarán hacer que los usuarios les envíen sus credenciales aplicando diversas técnicas, ya sean técnicas o mediante ingeniería social", dijo Serper. "Sin embargo, este incidente nos muestra que las contraseñas se pueden filtrar fuera del perímetro de la organización mediante un protocolo destinado a agilizar las operaciones del departamento de TI con respecto a la configuración del cliente de correo electrónico sin que nadie del departamento de TI o de seguridad lo sepa, lo que enfatiza la importancia de una segmentación adecuada y Zero Trust ". 

Mitigaciones 

Deshabilitar Autodiscover

Fuentes:

https://www.guardicore.com/labs/autodiscovering-the-great-leak/

https://thehackernews.com/2021/09/microsoft-exchange-bug-exposes-100000.html