ProxyToken es una vulnerabilidad grave en Microsoft Exchange Server que podría permitir que atacantes no autenticados accedan a correos electrónicos desde una cuenta objetivo.

Los detalles técnicos de una vulnerabilidad grave en Microsoft Exchange Server, denominada ProxyToken (CVE-2021-33766), se revelaron públicamente. Un atacante no autenticado podría aprovechar el problema para acceder a los correos electrónicos de una cuenta de destino.

Aunque se parcheó en julio, ahora han salido los detalles de CVE-2021-33766, o ProxyToken en Exchange, que se une a la mala racha reciente de este sistema en cuestión de vulnerabilidades. Permite robar información del inbox de cualquier usuario y resulta muy sencilla de explotar con un POST donde viaje el correo de la víctima y una cookie con valor “SecurityToken=x”.

En Exchange se crean puertos 80 y 443 para su front end y 81 y 444 para su back end al que redirige esperando que resuelva la autenticación delegada si ve el SecurityToken no vacío. Pero por algún motivo, el back end (el ECP, Exchange control panel) deja pasar todo lo que le llegue con el SecurityToken no vacío porque el módulo DelegatedAuthModule que debería encargarse de autenticar, no se carga por defecto.

Para explotarlo el atacante debe conocer además un “ECP canary”, que es como una cookie de sesión. Pero cuando se intenta atacar el sistema devuelve un 500 con un valor válido que se puede reinyectar junto con la cookie “SecurityToken=x” y modificar la configuración del Exchange.

ProxyToken: vulnerabilidad crítica

El atacante puede desencadenar la falla enviando una solicitud especialmente diseñada a los servicios web dentro de la aplicación Exchange Control Panel (ECP) y acceder a los mensajes desde la bandeja de entrada de la víctima. Podría aprovechar el problema para acceder a la configuración del buzón y configurar una regla de reenvío de correo electrónico para recibir los mensajes enviados a las víctimas.

Como requisito previo para el ataque, el atacante debe tener una cuenta en el mismo servidor de Exchange que la víctima.

La vulnerabilidad fue descubierta por Le Xuan Tuyen del Centro de Seguridad de la Información del Grupo de Correos y Telecomunicaciones de Vietnam (VNPT-ISC) en marzo.

Los expertos notaron que Outlook Web Access y el Panel de control de Exchange pasan las solicitudes de autenticación al Back End de Exchange.

ECP canary

Los expertos notaron que para desencadenar el problema, se requiere que cada solicitud a una página / ecp tenga un ticket conocido como el "canario ECP". En ausencia del canario, la solicitud volverá con un HTTP 500. Sin embargo, los investigadores notaron que la respuesta de error 500 va acompañada de un canario válido que podría usarse para emitir una solicitud no autenticada.

Microsoft ha abordado la falla de ProxyToken en julio, ha sido calificado con una puntuación CVSS de 7.5 porque podría ser explotado por un atacante con una cuenta en el mismo servidor de Exchange que la víctima.

ProxyShell

Casi 2.000 servidores de correo electrónico de Microsoft Exchange han sido hackeados en los últimos días y se han infectado con backdoor porque los propietarios no instalaron parches para una colección de vulnerabilidades conocidas como ProxyShell.

Descubierto por el investigador de seguridad taiwanés Orange Tsai, ProxyShell es una colección de tres fallas de seguridad diferentes que se pueden utilizar para tomar el control de los servidores de correo electrónico de Microsoft Exchange. Éstos incluyen:

• CVE-2021-34473 proporciona un mecanismo para la ejecución remota de código previo a la autenticación, lo que permite a los actores malintencionados ejecutar código de forma remota en un sistema afectado.
• CVE-2021-34523 permite que los actores malintencionados ejecuten código arbitrario después de la autenticación en los servidores de Microsoft Exchange debido a una falla en el servicio PowerShell que no valida adecuadamente los tokens de acceso.
• CVE-2021-31207 permite a los actores malintencionados posteriores a la autenticación ejecutar código arbitrario en el contexto de SYSTEM y escribir archivos arbitrarios.

En el gran esquema de las cosas, ProxyShell es parte de un trío de cadenas de ataque que Tsai ha descubierto y creado durante el año pasado desde que comenzó a buscar vulnerabilidades en los servidores de Microsoft Exchange a mediados de 2020:

• ProxyLogon

• ProxyOracle
• ProxyShell

Vía:

https://t.me/s/cybersecuritypulse/305

Fuentes:

https://www.zerodayinitiative.com/blog/2021/8/30/proxytoken-an-authentication-bypass-in-microsoft-exchange-server