Microsoft Exchange Server曝远程代码执行漏洞

安全预警

8月14日,Zero Day Initiative发布一则文章,声称他们收到关于 Microsoft Exchange Server 远程代码执行漏洞(漏洞编号 CVE-2018-8302)报告,即非特权 Exchange 用户可以通过.NET BinaryFormatter 反序列化漏洞,在 Exchange Server 中以”NT AUTHORITY \ SYSTEM“运行任意代码。截至目前,微软已针对该漏洞发布补丁程序。

漏洞简介

漏洞来源于名为 TopNWords.Data 的收件箱目录属性。此属性数据存储在 Exchange 服务器上,且为公共属性,因此用户可以通过 Exchange Web Services (EWS) 来对其进行更改。Exchange Web Services 是一组客户端与 Exchange 服务器通信的接口。

当收到语音邮件时,Exchange 服务器会尝试将其转换为文字显示在收件人的收件箱中。在启用 Unified Messaging (UM) 后,默认情况下会进行此转录过程:Exchange 将读取 TopNWords.Data属性值,并使用 .NET 程序 BinaryFormatter 对其进行反序列化,以进行后续的转化处理。

此漏洞的利用需要满足以下两个条件:

1. Exchange 服务器开启 Unified Messaging (UM) 配置选项;

2. 攻击者获取到一个能使用 UM voice 的邮箱账号权限。

满足以上条件的情况下,攻击者可以采用以下攻击步骤:

1. 攻击者先通过使用 Exchange Web Services 来上传恶意数据,写入到 TopNWords.Data 属性中;

2. 攻击者使用 UM 邮箱账号留下语音邮件,语音邮件将触发程序 BinaryFormatter 对 TopNWords.Data 属性中的恶意数据进行反序列化 ,最终导致以 NT AUTHORITY\SYSTEM 身份权限的任意代码执行。

下图为 Zero Day Initiative 文章中漏洞利用演示视频截图,成功以NT AUTHORITY\SYSTEM 身份权限执行 calc.exe :

受影响范围

Microsoft Exchange Server 2016 Cumulative Update 9

Microsoft Exchange Server 2016 Cumulative Update 10

Microsoft Exchange Server 2013 Cumulative Update 21

Microsoft Exchange Server 2013 Cumulative Update 20

Microsoft Exchange Server 2010 Service Pack 3 Update Rollup 23

解决方案

及时下载并安装微软官方发布的安全补丁:

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2018-8302

  • 发表于:
  • 原文链接https://kuaibao.qq.com/s/20180816B1JZZP00?refer=cp_1026
  • 腾讯「云+社区」是腾讯内容开放平台帐号(企鹅号)传播渠道之一,根据《腾讯内容开放平台服务协议》转载发布内容。
  • 如有侵权,请联系 yunjia_community@tencent.com 删除。

扫码关注云+社区

领取腾讯云代金券