Microsoft a officiellement révélé qu’il enquêtait sur deux vulnérabilités de sécurité zero-day affectant Exchange Server 2013, 2016 et 2019 à la suite de rapports d’exploitation à l’état sauvage.

« La première vulnérabilité, identifiée comme CVE-2022-41040est une falsification de requête côté serveur (SSRF) vulnérabilité, tandis que la seconde, identifiée comme CVE-2022-41082permet l’exécution de code à distance (RCE) lorsque PowerShell est accessible à l’attaquant », le géant de la technologie a dit.

La société a également confirmé qu’elle était au courant des « attaques ciblées limitées » militarisant les failles pour obtenir un accès initial aux systèmes ciblés, mais a souligné qu’un accès authentifié au serveur Exchange vulnérable est nécessaire pour réussir l’exploitation.

Les attaques détaillées par Microsoft montrent que les deux failles s’enchaînent dans une chaîne d’exploit, le bug SSRF permettant à un adversaire authentifié de déclencher à distance l’exécution de code arbitraire.

La société basée à Redmond a également confirmé qu’elle travaillait sur un « calendrier accéléré » pour pousser un correctif, tout en exhortant les clients Microsoft Exchange sur place à ajouter une règle de blocage dans IIS Manager comme solution de contournement temporaire pour atténuer les menaces potentielles.

Il convient de noter que les clients Microsoft Exchange Online ne sont pas concernés. Les étapes pour ajouter la règle de blocage sont les suivantes –

1. Ouvrez le gestionnaire IIS
2. Développer le site Web par défaut
3. Sélectionnez Découverte automatique
4. Dans la vue des fonctionnalités, cliquez sur Réécriture d’URL
5. Dans le volet Actions sur le côté droit, cliquez sur Ajouter des règles
6. Sélectionnez Demander le blocage et cliquez sur OK
7. Ajoutez la chaîne « .*autodiscover\.json.*\@.*Powershell.* » (hors guillemets) et cliquez sur OK
8. Développez la règle et sélectionnez la règle avec le modèle « .*autodiscover\.json.*\@.*Powershell.* » et cliquez sur Modifier sous Conditions
9. Modifiez l’entrée de condition de {URL} à {REQUEST_URI}