Microsoft Exchange中的Autodiscover漏洞泄露大量凭证

发表于:2021-9-29 09:26  作者:邹铮 编译   来源:TechTarget中国

字体: | 上一篇 | 下一篇 |我要投稿 | 推荐标签: 漏洞 数据安全

  根据新的Guardicore研究,Microsoft Exchange中使用的协议Autodiscover存在漏洞,该漏洞导致各种Windows和Microsoft登录凭证遭泄漏。
  Exchange使用Autodiscover来自动配置客户端应用程序,例如Microsoft Outlook。企业安全供应商Guardicore的安全研究区域副总裁Amit Serper在该公司专门针对该漏洞的帖子中写道,Autodiscover存在一个设计缺陷,导致该协议将Web请求‘泄漏’到用户域外的Autodiscover域,但仍在同一顶级域 (TLD) 中,例如 Autodiscover.com。
  Guardicore研究人员随后测试了该漏洞。
  Serper在该博客文章中写道:“Guardicore Labs购得多个带有 TLD 后缀的 Autodiscover 域,并将它们设置为定向到我们控制的Web服务器。此后不久,我们检测到大量泄漏的Windows域凭证到达我们服务器。”
  该供应商购买的域名示例包括 Autodiscover.com.br、Autodiscover.com.cn和 Autodiscover.com.co;该帖子包含有关域名如何被滥用的大量技术细节。
  Serper写道,从4月16日到8月25日,Guardicore利用该漏洞捕获 372,072 个 Windows 域凭据和 96,671 个从各种应用程序泄漏的独特凭据,例如 Microsoft Outlook、移动电子邮件客户端和其他与 Microsoft Exchange 服务器连接的应用程序。
  Autodiscover漏洞并不是一个新问题。Serper表示,Shape Security于 2017 年首次披露了该核心漏洞,并于当年在 Black Hat Asia 上展示了调查结果。当时,CVE-2016-9940 和 CVE-2017-2414 漏洞被发现仅影响移动设备上的电子邮件客户端。Serper写道:“Shape Security 披露的漏洞已得到修补,但是,在2021年我们面临更大的威胁,更多第三方应用程序面临相同的问题。”
  该文章提出了两种缓解措施:一种针对公众,一种针对软件开发人员和供应商。
  对于使用Exchange的普通公众,Guardicore 建议用户在其防火墙中阻止Autodiscover域。 Serper 还表示,在配置 Exchange 设置时,用户应该“确保禁用对基本身份验证的支持”。Serper 继续说道,“使用 HTTP 基本身份验证相当于通过网络以明文形式发送密码。”
  与此同时,开发人员应该确保他们不会让Autodiscover协议蔓延。
  Serper称:“请确保在你的产品中部署Autodiscover协议时,即Autodiscover等域永远不应该由‘退避’算法构建。”
  漏洞披露纠纷
  微软批评 Guardicore 在发布其研究之前没有遵循漏洞披露流程。这家科技巨头与 SearchSecurity分享了以下声明,来自微软高级总监Jeff Jones。
  Jones 写到:“我们正在积极调查,并将采取适当措施保护客户。我们致力于协调漏洞披露,这是一种行业标准的协作方法,可在问题公开之前为客户降低不必要的风险。不幸的是,在研究人员营销团队向媒体展示此问题之前并未向我们报告此问题。”
  Serper 在周三晚上的一条推文中回应了这一声明,该声明已发送给其他媒体。
  他表示:“我的报告清楚地引用了2017 年提出这个问题的研究:请参阅 2017 年的这篇论文,正如 Black Hat Asia 2017 中提出的那样。这不是0day,这已经过了1460天,至少。微软不可能不知道这个漏洞。”

  本文内容不用于商业目的,如涉及知识产权问题,请权利人联系51Testing小编(021-64471599-8017),我们将立即处理

评 论

论坛新帖



建议使用IE 6.0以上浏览器,800×600以上分辨率,法律顾问:上海信义律师事务所 项棋律师
版权所有 上海博为峰软件技术股份有限公司 Copyright©51testing.com 2003-2021, 沪ICP备05003035号
投诉及意见反馈:webmaster@51testing.com; 业务联系:service@51testing.com 021-64471599-8017

沪公网安备 31010102002173号

51Testing官方微信

51Testing官方微博

扫一扫 测试知识全知道