Investigadores de HawkTrace han revelado detalles técnicos sobre una vulnerabilidad de solicitud服务端 falsificada (SSRF) de gravedad alta en Microsoft Exchange, identificada como CVE-2026-45504. Con una puntuación CVSS de 8.8, este fallo permite que usuarios autenticados con bajos privilegios lean archivos arbitrarios de los servidores afectados, lo que representa un riesgo significativo para las empresas que utilizan implementaciones locales.

Investigadores de seguridad de HawkTrace han revelado detalles técnicos de una vulnerabilidad de falsificación de solicitud del lado del servidor (SSRF) de severidad alta en Microsoft Exchange, rastreada como CVE-2026-45504.

El fallo, que tiene una puntuación CVSS de 8.8, permite que usuarios autenticados con bajos privilegios lean archivos arbitrarios de servidores Exchange vulnerables, lo que genera serias preocupaciones para las empresas que dependen de despliegues locales.

Microsoft Exchange se utiliza ampliamente para el correo electrónico corporativo, la gestión de calendarios y la colaboración. Debido a su papel central en el manejo de comunicaciones sensibles, las vulnerabilidades que permiten el acceso no autorizado a los datos pueden tener un impacto significativo.

En este caso, el problema reside en cómo Exchange procesa las URL externas durante las vistas previas de archivos adjuntos y al integrarse con los servicios de SharePoint.

Según el análisis de HawkTrace, la vulnerabilidad se origina en el componente OneDriveProUtilities, específicamente dentro de funciones como TryTwice y GetWacUrl.

Estas funciones realizan solicitudes HTTP para recuperar datos de WOPI (Web Application Open Platform Interface) y tokens de acceso para las vistas previas de documentos.

El fallo de SSRF de Exchange recibe un exploit PoC público

El problema central es que la entrada controlada por el usuario se pasa directamente a WebRequest.CreateHttp sin una validación suficiente.

El ataque comienza cuando un usuario autenticado crea un archivo adjunto de referencia especialmente diseñado utilizando Exchange Web Services (EWS).

Este adjunto incluye un ProviderEndpointUrl que apunta a un servidor controlado por el atacante. Cuando la víctima accede o previsualiza el archivo, el servidor Exchange inicia una solicitud de backend al servidor del atacante para recuperar metadatos de WOPI.

El atacante responde entonces con un valor de WebApplicationUrl malicioso. En lugar de devolver una URL estándar HTTP o HTTPS, la respuesta incluye un URI de archivo como file:///C:/Windows/win.ini.

Normalmente, los parámetros de consulta adicionales añadidos por Exchange romperían la ruta del archivo. Sin embargo, los investigadores demostraron un bypass sencillo utilizando el carácter de fragmento (#).

Al devolver un payload como file:///C:/Windows/win.ini#, todo lo que se añade después del fragmento es ignorado, permitiendo que el sistema procese la ruta del archivo local correctamente.

Como resultado, Exchange realiza sin saberlo un FileWebRequest al sistema de archivos local y devuelve el contenido del archivo al atacante.

Esto convierte efectivamente la vulnerabilidad SSRF en una primitiva de lectura de archivos arbitrarios, permitiendo el acceso a archivos sensibles del sistema como datos de configuración, credenciales e información de servicios internos.

La causa raíz del problema es la falta de validación del esquema en las URL devueltas desde los endpoints de WOPI. Exchange confía en la respuesta y no restringe esquemas que no sean HTTP, como file://, que nunca deberían permitirse en este contexto.

Esta violación del límite de confianza permite a los atacantes pivotar desde una solicitud externa controlada hacia el acceso a archivos internos.

HawkTrace también ha publicado un exploit de prueba de concepto (PoC) público en GitHub, demostrando cómo se puede explotar la vulnerabilidad en escenarios reales.

El PoC automatiza el proceso configurando un servidor malicioso, autenticándose en Exchange y solicitando archivos arbitrarios, como el archivo hosts del sistema.

La revelación resalta los riesgos continuos asociados con las vulnerabilidades SSRF en software empresarial complejo. Incluso cuando se requiere autenticación, el acceso con bajos privilegios combinado con una validación de entrada inadecuada puede provocar una exposición de datos significativa.

Para mitigar este problema, debes aplicar las actualizaciones de seguridad proporcionadas por Microsoft y restringir que los servidores Exchange realicen solicitudes salientes a endpoints no confiables.

La validación adecuada de los esquemas de URL, especialmente el bloqueo de file:// y protocolos similares, es fundamental para prevenir la explotación.

La publicación de una investigación detallada y un exploit funcional aumenta la urgencia para que las organizaciones evalúen su exposición e implementen parches inmediatamente, ya que los actores de amenazas pueden adoptar rápidamente estas técnicas en ataques dirigidos.