搜索

[16508] 2021-03-03_微软Exchange曝多个高危漏洞，无需验证交互即可触发

文档创建者：s7ckTeam
浏览次数：39
最后更新：2025-01-18
2021-03-03_微软Exchange曝多个高危漏洞，无需验证交互即可触发 微 软 E x c h a n g e 曝 多 个 高 危 漏 洞 ， 无 需 验 证 交 互 即 可 触 发 S a n d r a 1 4 3 2   F r e e B u f   2 0 2 1 - 0 3 - 0 3 3 月 2 日 ， 微 软 发 布 了 M i c r o s o f t   E x c h a n g e   S e r v e r 的 安 全 更 新 公 告 ， 其 中 包 含 多 个 E x c h a n g e   S e r v e r 严 重 安 全 漏 洞 ， 危 害 等 级 为 “ 高 危 ” ， 漏 洞 编 号 分 别 为 C V E - 2 0 2 1 - 2 6 8 5 5 、 C V E - 2 0 2 1 - 2 6 8 5 7 、 C V E - 2 0 2 1 - 2 6 8 5 8 、 C V E - 2 0 2 1 - 2 7 0 6 5 。 E x c h a n g e   S e r v e r 是 微 软 公 司 的 一 套 电 子 邮 件 服 务 组 件 ， 是 个 消 息 与 协 作 系 统 ， 主 要 提 供 包 括 从 电 子 邮 件 、 会 议 安 排 、 团 体 日 程 管 理 、 任 务 管 理 、 文 档 管 理 、 实 时 会 议 和 工 作 流 等 协 作 应 用 。 漏 洞 详 情 漏 洞 详 情 C V E - 2 0 2 1 - 2 6 8 5 5 该 漏 洞 是 E x c h a n g e 中 的 服 务 端 请 求 伪 造 漏 洞 （ S S R F ） ， 利 用 此 漏 洞 的 攻 击 者 能 够 发 送 任 意 H T T P 请 求 并 绕 过 E x c h a n g e   S e r v e r 身 份 验 证 ， 远 程 未 授 权 的 攻 击 者 可 以 利 用 该 漏 洞 以 进 行 内 网 探 测 ， 并 可 以 用 于 窃 取 用 户 邮 箱 的 全 部 内 容 。 危 害 ： 该 漏 洞 是 E x c h a n g e 中 的 服 务 端 请 求 伪 造 漏 洞 （ S S R F ） ， 利 用 此 漏 洞 的 攻 击 者 能 够 发 送 任 意 H T T P 请 求 并 绕 过 E x c h a n g e   S e r v e r 身 份 验 证 ， 远 程 未 授 权 的 攻 击 者 可 以 利 用 该 漏 洞 以 进 行 内 网 探 测 ， 并 可 以 用 于 窃 取 用 户 邮 箱 的 全 部 内 容 。 C V E - 2 0 2 1 - 2 6 8 5 7 该 漏 洞 是 U n i f i e d   M e s s a g i n g   服 务 中 的 不 安 全 的 反 序 列 化 漏 洞 。 利 用 该 漏 洞 ， 攻 击 者 可 以 发 送 精 心 构 造 的 恶 意 请 求 ， 从 而 在 E x c h a n g e   S e r v e r 上 以 S Y S T E M 身 份 执 行 任 意 代 码 。 危 害 ： 该 漏 洞 是 U n i f i e d   M e s s a g i n g   服 务 中 的 不 安 全 的 反 序 列 化 漏 洞 。 利 用 该 漏 洞 ， 攻 击 者 可 以 发 送 精 心 构 造 的 恶 意 请 求 ， 从 而 在 E x c h a n g e   S e r v e r 上 以 S Y S T E M 身 份 执 行 任 意 代 码 。 C V E - 2 0 2 1 - 2 6 8 5 8 该 漏 洞 是 E x c h a n g e 中 的 任 意 文 件 写 入 漏 洞 。 该 漏 洞 需 要 进 行 身 份 认 证 ， 利 用 此 漏 洞 可 以 将 文 件 写 入 服 务 器 上 的 任 何 路 径 。 并 可 以 结 合 利 用 C V E - 2 0 2 1 - 2 6 8 5 5   S S R F 漏 洞 或 绕 过 权 限 认 证 进 行 文 件 写 入 。 危 害 ： 该 漏 洞 是 E x c h a n g e 中 的 任 意 文 件 写 入 漏 洞 。 该 漏 洞 需 要 进 行 身 份 认 证 ， 利 用 此 漏 洞 可 以 将 文 件 写 入 服 务 器 上 的 任 何 路 径 。 并 可 以 结 合 利 用 C V E - 2 0 2 1 - 2 6 8 5 5   S S R F 漏 洞 或 绕 过 权 限 认 证 进 行 文 件 写 入 。 C V E - 2 0 2 1 - 2 7 0 6 5 该 漏 洞 是 E x c h a n g e 中 的 任 意 文 件 写 入 漏 洞 。 该 漏 洞 需 要 进 行 身 份 认 证 ， 利 用 此 漏 洞 可 以 将 文 件 写 入 服 务 器 上 的 任 何 路 径 。 并 可 以 结 合 利 用 C V E - 2 0 2 1 - 2 6 8 5 5   S S R F 漏 洞 或 绕 过 权 限 认 证 进 行 文 件 写 入 。 危 害 ： 该 漏 洞 是 E x c h a n g e 中 的 任 意 文 件 写 入 漏 洞 。 该 漏 洞 需 要 进 行 身 份 认 证 ， 利 用 此 漏 洞 可 以 将 文 件 写 入 服 务 器 上 的 任 何 路 径 。 并 可 以 结 合 利 用 C V E - 2 0 2 1 - 2 6 8 5 5   S S R F 漏 洞 或 绕 过 权 限 认 证 进 行 文 件 写 入 。 影 响 范 围 影 响 范 围 M i c r o s o f t   E x c h a n g e   2 0 1 3 M i c r o s o f t   E x c h a n g e   2 0 1 6
M i c r o s o f t   E x c h a n g e   2 0 1 9 M i c r o s o f t   E x c h a n g e   2 0 1 0 防 范 措 施 防 范 措 施 1 、 微 软 官 方 已 经 发 布 了 解 决 上 述 漏 洞 的 安 全 更 新 ， 建 议 受 影 响 用 户 尽 快 升 级 到 安 全 版 本 ， 官 方 安 全 版 本 下 载 可 以 参 考 以 下 链 接 ： C V E - 2 0 2 1 - 2 6 8 5 5 :   h t t p s : / / m s r c . m i c r o s o f t . c o m / u p d a t e - g u i d e / v u l n e r a b i l i t y / C V E - 2 0 2 1 - 2 6 8 5 5 C V E - 2 0 2 1 - 2 6 8 5 7 :   h t t p s : / / m s r c . m i c r o s o f t . c o m / u p d a t e - g u i d e / v u l n e r a b i l i t y / C V E - 2 0 2 1 - 2 6 8 5 7 C V E - 2 0 2 1 - 2 6 8 5 8 :   h t t p s : / / m s r c . m i c r o s o f t . c o m / u p d a t e - g u i d e / v u l n e r a b i l i t y / C V E - 2 0 2 1 - 2 6 8 5 8 C V E - 2 0 2 1 - 2 7 0 6 5 :   h t t p s : / / m s r c . m i c r o s o f t . c o m / u p d a t e - g u i d e / v u l n e r a b i l i t y / C V E - 2 0 2 1 - 2 7 0 6 5 2 、 若 无 法 及 时 进 行 升 级 ， 建 议 采 用 官 方 的 临 时 措 施 进 行 防 御 ： h t t p s : / / w w w . m i c r o s o f t . c o m / s e c u r i t y / b l o g / 2 0 2 1 / 0 3 / 0 2 / h a f n i u m - t a r g e t i n g - e x c h a n g e - s e r v e r s / 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理