Microsoft Exchange中的Autodiscover漏洞泄露大量凭证

安全
根据新的Guardicore研究,Microsoft Exchange中使用的协议Autodiscover存在漏洞,该漏洞导致各种Windows和Microsoft登录凭证遭泄漏。

根据新的Guardicore研究,Microsoft Exchange中使用的协议Autodiscover存在漏洞,该漏洞导致各种Windows和Microsoft登录凭证遭泄漏。

Exchange使用Autodiscover来自动配置客户端应用程序,例如Microsoft Outlook。企业安全供应商Guardicore的安全研究区域副总裁Amit Serper在该公司专门针对该漏洞的帖子中写道,Autodiscover存在一个设计缺陷,导致该协议将Web请求‘泄漏’到用户域外的Autodiscover域,但仍在同一顶级域 (TLD) 中,例如 Autodiscover.com。

Guardicore研究人员随后测试了该漏洞。

[[426273]]

Serper在该博客文章中写道:“Guardicore Labs购得多个带有 TLD 后缀的 Autodiscover 域,并将它们设置为定向到我们控制的Web服务器。此后不久,我们检测到大量泄漏的Windows域凭证到达我们服务器。”

该供应商购买的域名示例包括 Autodiscover.com.br、Autodiscover.com.cn和 Autodiscover.com.co;该帖子包含有关域名如何被滥用的大量技术细节。

Serper写道,从4月16日到8月25日,Guardicore利用该漏洞捕获 372,072 个 Windows 域凭据和 96,671 个从各种应用程序泄漏的独特凭据,例如 Microsoft Outlook、移动电子邮件客户端和其他与 Microsoft Exchange 服务器连接的应用程序。

Autodiscover漏洞并不是一个新问题。Serper表示,Shape Security于 2017 年首次披露了该核心漏洞,并于当年在 Black Hat Asia 上展示了调查结果。当时,CVE-2016-9940 和 CVE-2017-2414 漏洞被发现仅影响移动设备上的电子邮件客户端。Serper写道:“Shape Security 披露的漏洞已得到修补,但是,在2021年我们面临更大的威胁,更多第三方应用程序面临相同的问题。”

该文章提出了两种缓解措施:一种针对公众,一种针对软件开发人员和供应商。

对于使用Exchange的普通公众,Guardicore 建议用户在其防火墙中阻止Autodiscover域。 Serper 还表示,在配置 Exchange 设置时,用户应该“确保禁用对基本身份验证的支持”。Serper 继续说道,“使用 HTTP 基本身份验证相当于通过网络以明文形式发送密码。”

与此同时,开发人员应该确保他们不会让Autodiscover协议蔓延。

Serper称:“请确保在你的产品中部署Autodiscover协议时,即Autodiscover等域永远不应该由‘退避’算法构建。”

漏洞披露纠纷

微软批评 Guardicore 在发布其研究之前没有遵循漏洞披露流程。这家科技巨头与 SearchSecurity分享了以下声明,来自微软高级总监Jeff Jones。

Jones 写到:“我们正在积极调查,并将采取适当措施保护客户。我们致力于协调漏洞披露,这是一种行业标准的协作方法,可在问题公开之前为客户降低不必要的风险。不幸的是,在研究人员营销团队向媒体展示此问题之前并未向我们报告此问题。”

Serper 在周三晚上的一条推文中回应了这一声明,该声明已发送给其他媒体。

他表示:“我的报告清楚地引用了2017 年提出这个问题的研究:请参阅 2017 年的这篇论文,正如 Black Hat Asia 2017 中提出的那样。这不是0day,这已经过了1460天,至少。微软不可能不知道这个漏洞。”

 

责任编辑:赵宁宁 来源: TechTarget中国
相关推荐

2021-09-26 05:49:48

漏洞网络安全网络攻击

2021-03-15 09:26:33

漏洞微软攻击

2021-03-18 09:08:44

MicrosoftExchange漏洞

2012-07-12 14:55:34

雅虎黑客

2010-12-07 15:30:15

Exchange Se

2021-03-09 09:06:41

漏洞数据安全数据

2017-06-14 14:33:58

2010-08-12 09:45:05

Exchange微软云计算

2021-03-08 08:05:05

漏洞Exchange微软

2018-11-04 11:33:37

Safari信息泄露漏洞

2015-01-15 09:38:30

2022-07-02 15:23:59

卡巴斯基Exchange服务器

2020-10-09 09:52:00

漏洞分析

2022-01-04 10:11:48

Microsoft E电子邮件错误

2021-08-18 08:56:14

漏洞网络安全网络攻击

2021-03-08 10:58:03

漏洞Microsoft E微软

2015-10-13 10:42:33

2010-08-24 10:42:53

Google安全漏洞

2015-10-14 14:40:10

漏洞软件设计漏洞keychain

2023-10-10 13:16:42

点赞
收藏

51CTO技术栈公众号