前往小程序,Get更优阅读体验!
立即前往
首页
学习
活动
专区
工具
TVP
发布
社区首页 >专栏 >【漏洞通告】微软Exchange远程代码执行漏洞(CVE-2020-0688)处置手册

【漏洞通告】微软Exchange远程代码执行漏洞(CVE-2020-0688)处置手册

作者头像
绿盟科技安全情报
发布2020-03-04 10:50:21
1.1K0
发布2020-03-04 10:50:21
举报
文章被收录于专栏:绿盟科技安全情报

通告编号:NS-2020-0012

2020-02-27

TAG:

微软、Exchange、远程代码执行

危害等级:

高,攻击者利用此漏洞可实现远程代码执行,从而控制Exchange服务器。

应急等级:

黄色

版本:

1.1

1

漏洞概述

北京时间2月12日,微软发布2月安全更新补丁,修复了100个安全问题,涉及Internet Explorer、Microsoft Edge、Microsoft Exchange Server、Microsoft Office等广泛使用的产品,其中包括提权和远程代码执行等高危漏洞。

此次安全更新修复的漏洞中,微软官方将影响Microsoft Exchange Server的漏洞CVE-2020-0688定义为内存损坏漏洞。2月26日有安全研究员公开了该漏洞细节,EXchange默认开启了Web页面登录,获取到邮箱账户权限的攻击者向服务器发送精心构造的请求,可在服务器端实现远程代码执行,微软官方也将之前命名的内存损坏漏洞重命名为远程代码执行漏洞。

目前此漏洞的利用方式已经公开,建议相关用户及时安装修复补丁,漏洞复现成功的截图如下:

参考链接:

https://support.microsoft.com/en-gb/help/4536988/description-of-the-security-update-for-microsoft-exchange-server-2013

https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2020-0688

SEE MORE →

2影响范围

受影响版本

  • Microsoft Exchange Server 2010 Service Pack 3
  • Microsoft Exchange Server 2013
  • Microsoft Exchange Server 2016
  • Microsoft Exchange Server 2019

3漏洞检测

3.1 产品检测

绿盟科技远程安全评估系统(RSAS)已具备对此漏洞(CVE-2020-0688)的扫描检测能力,请部署有RSAS设备的用户升级插件包至V6.0R02F01.1707及以上版本。下载链接如下:

升级包版本号

升级包下载链接

RSAS V6 系统插件包

V6.0R02F01.1707

http://update.nsfocus.com/update/downloads/id/102351

关于RSAS的配置指导,请参考如下链接:

https://mp.weixin.qq.com/s/aLAWXs5DgRhNHf4WHHhQyg

4漏洞防护

4.1 安装补丁

微软官方已针对受支持的产品版本发布了修复该漏洞的安全补丁,建议受影响用户开启系统自动更新安装补丁进行防护。

注:由于网络问题、计算机环境问题等原因,Windows Update的补丁更新可能出现失败。用户在安装补丁后,应及时检查补丁是否成功更新。右键点击Windows徽标,选择“设置(N)”,选择“更新和安全”-“Windows更新”,查看该页面上的提示信息,也可点击“查看更新历史记录”查看历史更新情况。

针对未成功安装更新补丁的情况,可直接下载离线安装包进行更新,下载链接如下:

产品更新

补丁编号

补丁下载链接

Microsoft Exchange Server 2010 Service Pack 3 Update Rollup 30

KB4536989

https://www.microsoft.com/zh-CN/download/details.aspx?id=100910

Microsoft Exchange Server 2013 Cumulative Update 23

KB4536988

https://www.microsoft.com/zh-CN/download/details.aspx?id=100909

Microsoft Exchange Server 2016 Cumulative Update 14

KB4536987

https://www.microsoft.com/zh-CN/download/details.aspx?id=100907

Microsoft Exchange Server 2016 Cumulative Update 15

KB4536987

https://www.microsoft.com/zh-CN/download/details.aspx?id=100908

Microsoft Exchange Server 2019 Cumulative Update 3

KB4536987

https://www.microsoft.com/en-us/download/details.aspx?id=100905

Microsoft Exchange Server 2019 Cumulative Update 4

KB4536987

https://www.microsoft.com/zh-CN/download/details.aspx?id=100906

【备注】:建议您在安装补丁前做好数据备份工作,避免出现意外。

4.2 防护建议

1、在未完成补丁修复之前,通过入侵检测设备重点监测Exchange服务器非法外连及对内端口扫描和蠕虫行为;

2、建议相关用户请勿打开来历不明的邮件,避免被攻击者利用漏洞在机器上执行恶意代码;

3、如果不能及时安装补丁,建议关注Exchange用户登录异常情况,清理僵尸账号、离职员工或供应商账号,以及重置登录异常的账户和弱口令账户密码,并使其满足较强的口令规范。

4.3 产品防护

针对此漏洞,绿盟科技Web应用防护系统(WAF)与网络入侵防护系统(IPS)已发布规则升级包,请相关用户升级规则,以形成安全产品防护能力。安全防护产品规则版本号如下:

升级包版本号

升级包下载链接

WAF规则6.0.4.0升级包

6.0.4.1.43980

http://update.nsfocus.com/update/downloads/id/102714

WAF规则6.0.5.0升级包

6.0.5.1.43980

http://update.nsfocus.com/update/downloads/id/102740

WAF规则6.0.7.0升级包

6.0.7.1.43980

http://update.nsfocus.com/update/downloads/id/102739

IPS规则5.6.9升级包

5.6.9.22014

http://update.nsfocus.com/update/downloads/id/102722

IPS规则5.6.10升级包

5.6.10.22014

http://update.nsfocus.com/update/downloads/id/102723

4.4 平台监测

绿盟企业安全平台(ESP/ESP-H)与绿盟智能安全运营平台(ISOP)已经有针对Microsoft Exchange Server远程代码执行漏洞(CVE-2020-0688)的检测能力,该规则依赖于waf设备,若已经安装绿盟waf设备,请升级到 update_rule.v6.0.7.1.43980.wcl或者update_rule.v6.0.5.1.43980 .wcl版本及以上 。部署有绿盟科技平台类产品的用户,可实现对此漏洞的平台监测能力。

本文参与 腾讯云自媒体同步曝光计划,分享自微信公众号。
原始发表:2020-02-27,如有侵权请联系 cloudcommunity@tencent.com 删除

本文分享自 绿盟科技CERT 微信公众号,前往查看

如有侵权,请联系 cloudcommunity@tencent.com 删除。

本文参与 腾讯云自媒体同步曝光计划  ,欢迎热爱写作的你一起参与!

评论
登录后参与评论
0 条评论
热度
最新
推荐阅读
相关产品与服务
网络入侵防护系统
网络入侵防护系统(Network Intrusion Prevention System,NIPS),是基于腾讯安全服务内部数百条业务线的运维经验积累和大数据处理能力的结合,通过旁路部署的方式,提供了网络层 ACL (访问控制)和日志审计功能,解决云平台监管、ACL 控制、安全治理等问题,并辅助客户满足网安法,合规性要求。
领券
问题归档专栏文章快讯文章归档关键词归档开发者手册归档开发者手册 Section 归档