Secondo un avviso diffuso dagli Stati Uniti. Agenzia per la sicurezza informatica e delle infrastrutture (CISA), i criminali informatici stanno attualmente sfruttando le cosiddette vulnerabilità ProxyShell di Microsoft Exchange: CVE-2021-34473, CVE-2021-34523, e CVE-2021-31207.
CISA mette in guardia contro gli attacchi ProxyShell
Il il forte consiglio dell'agenzia è che le organizzazioni identifichino i sistemi vulnerabili sulle loro reti e li applichino tramite l'aggiornamento della sicurezza di Microsoft da Maggio 2021.
L'aggiornamento risolve tutti e tre i difetti di ProxyShell e protegge dagli attacchi. Se i sistemi vulnerabili rimangono senza patch, gli attori delle minacce potrebbero sfruttare i difetti per eseguire l'esecuzione di codice arbitrario.
Le vulnerabilità sono state dimostrate all'inizio di quest'anno durante il concorso di hacking Pwn2Own. Infatti, l'exploit ProxyShell fa parte di una catena più ampia composta da exploit ProxyLogon e ProxyOracle.
Le vulnerabilità di ProxyLogon
Le vulnerabilità di ProxyLogon includi CVE-2021-26855, CVE-2021-26857, CVE-2021-26858, e CVE-2021-27065. Le versioni interessate includono Microsoft Exchange Server 2013, Microsoft Exchange Server 2016, e Microsoft Exchange Server 2019.
Per essere avviato con successo, un attacco richiede una connessione non attendibile a una porta del server Exchange specifica, 443. Questa scappatoia può essere protetta limitando la connessione non attendibile, o configurando una VPN per separare il server dall'accesso esterno. Tuttavia, questi trucchi di mitigazione offrono solo una protezione parziale. I ricercatori di sicurezza avvertono che altre parti dell'attacco a catena possono essere attivate se un utente malintenzionato ha già accesso o può convincere un amministratore a eseguire un file dannoso.
L'exploit di ProxyOracle
“Rispetto a ProxyLogon, ProxyOracle è un exploit interessante con un approccio diverso. Semplicemente conducendo un utente a visitare un collegamento dannoso, ProxyOracle consente a un utente malintenzionato di recuperare completamente la password dell'utente in formato testo normale,” ricercatore di sicurezza Orange Tsai ha scritto un paio di mesi fa. ProxyOracle è costituito da due bug: CVE-2021-31195 e CVE-2021-31196.
In termini di attacchi attuali basati sull'exploit ProxyShell, hacker etico Kevin Hanslovan di recente ha twittato che lui “ha visto 140+ webshell attraverso 1900+ scatole senza patch in 48 ore. Le organizzazioni colpite finora includono la costruzione di mfgs, trasformatori di frutti di mare, macchinario industriale, officine di riparazione auto, un piccolo aeroporto residenziale e altro ancora.” Per ripetere il consiglio urgente della CISA, le organizzazioni dovrebbero identificare le reti vulnerabili per evitare questi attacchi.
Milena Dimitrova
Uno scrittore ispirato e un gestore di contenuti che è stato con SensorsTechForum dall'inizio del progetto. Un professionista con 10+ anni di esperienza nella creazione di contenuti accattivanti. Incentrato sulla privacy degli utenti e lo sviluppo di malware, crede fortemente in un mondo in cui la sicurezza informatica gioca un ruolo centrale. Se il buon senso non ha senso, lei sarà lì per prendere appunti. Quelle note possono poi trasformarsi in articoli! Seguire Milena @Milenyim
Seguimi: