【处置手册】Exchange Server OWASSRF漏洞（CVE-2022-41080/CVE-2022-41082）

2022年12月30日01:21:05评论89 views字数 5134阅读17分6秒阅读模式

通告编号:NS-2022-0034

2022-12-29

TAG：	Exchange Server、OWA、任意代码执行、SSRF
漏洞危害：	攻击者利用此漏洞可实现任意命令执行
版本：	1.0

漏洞概述

近日，绿盟科技CERT监测发现国外安全团队公开披露了对Exchange Server漏洞的利用链的技术细节。经过身份认证的远程攻击者利用Exchange Server权限提升漏洞(CVE-2022-41080)，在端点Outlook Web Application (OWA)获得在系统上下文中执行PowerShell的权限。之后具有执行PowerShell权限的攻击者通过Exchange Server远程代码执行漏洞(CVE-2022-41082)在目标系统上执行任意代码。以上利用链可绕过微软官方为"ProxyNotShell"所提供的缓解措施。请受影响的用户尽快采取措施进行防护。

参考链接：

https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2022-41080

https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2022-41082

SEE MORE →

2影响范围

受影响版本：

Microsoft Exchange Server 2013 Cumulative Update 23
Microsoft Exchange Server 2016 Cumulative Update 22
Microsoft Exchange Server 2016 Cumulative Update 23
Microsoft Exchange Server 2019 Cumulative Update 11
Microsoft Exchange Server 2019 Cumulative Update 12

3攻击排查

3.1 排查方法

1、访问链接，下载脚本：https://github.com/CrowdStrike/OWASSRF/blob/main/Rps_Http-IOC.ps1

2、运行脚本（需要注意如果直接下载可能会出现&符号的问题导致无法运行，建议直接复制以下代码并写入新的ps1文件中）

powershell C:UsersadminDesktopRps_Http-IOC.ps1

日志所在路径，默认为：

C:Program FilesMicrosoftExchange ServerV15LoggingCmdletInfraPowershell-ProxyHttp

3、运行结果如下图所示：

【处置手册】Exchange Server OWASSRF漏洞（CVE-2022-41080/CVE-2022-41082）可以清晰看出被攻击的邮箱，供给来源以及攻击过程，成功次数等。

4漏洞检测

4.1 产品检测

绿盟科技远程安全评估系统（RSAS）与WEB应用漏洞扫描系统(WVSS)、网络入侵检测系统（IDS）、综合威胁探针（UTS）已具备对此次漏洞的扫描与检测能力，请有部署以上设备的用户升级至最新版本。

	升级包版本号	升级包下载链接
RSAS V6系统插件包	V6.0R02F01.2906	http://update.nsfocus.com/update/listRsasDetail/v/vulsys
RSAS V6 Web插件包	V6.0R02F00.2804	http://update.nsfocus.com/update/listRsasDetail/v/vulweb
WVSS V6插件升级包	V6.0R03F00.265	http://update.nsfocus.com/update/listWvssDetail/v/6/t/plg
IDS	5.6.11.28923	http://update.nsfocus.com/update/downloads/id/135638
IDS	5.6.10.28923	http://update.nsfocus.com/update/downloads/id/135637
UTS	5.6.10.28923	http://update.nsfocus.com/update/downloads/id/135667

关于RSAS的升级配置指导，请参考如下链接：

https://mp.weixin.qq.com/s/SgOaCZeKrNn-4uR8Yj_C3Q

5漏洞防护

5.1 官方升级

目前微软官方已针对受支持的产品版本发布了修复该漏洞的安全补丁，建议受影响用户开启系统自动更新安装补丁进行防护。

注：由于网络问题、计算机环境问题等原因，Windows Update的补丁更新可能出现失败。用户在安装补丁后，应及时检查补丁是否成功更新。右键点击Windows徽标，选择“设置(N)”，选择“更新和安全”-“Windows更新”，查看该页面上的提示信息，也可点击“查看更新历史记录”查看历史更新情况。

针对未成功安装更新补丁的情况，可直接下载离线安装包进行更新，下载链接如下：

产品更新	补丁编号	补丁下载链接
Microsoft Exchange Server 2013 Cumulative Update 23	KB5019758	https://www.microsoft.com/en-us/download/details.aspx?id=104729
Microsoft Exchange Server 2016 Cumulative Update 22	KB5019758	https://www.microsoft.com/en-us/download/details.aspx?id=104728
Microsoft Exchange Server 2016 Cumulative Update 23	KB5019758	https://www.microsoft.com/en-us/download/details.aspx?id=104727
Microsoft Exchange Server 2019 Cumulative Update 11	KB5019758	https://www.microsoft.com/en-us/download/details.aspx?id=104726
Microsoft Exchange Server 2019 Cumulative Update 12	KB5019758	https://www.microsoft.com/en-us/download/details.aspx?id=104725

【注】：建议您在安装补丁前做好数据备份工作，避免出现意外。

5.2 产品防护

针对上述漏洞，绿盟科技网络入侵防护系统(IPS)、WEB应用防护系统(WAF)与下一代防火墙 (NF)已发布规则升级包，请相关用户升级规则包至最新版，以形成安全产品防护能力。安全防护产品规则版本号如下：

安全防护产品	规则版本号	升级包下载链接	规则编号
IPS	5.6.11.28923	http://update.nsfocus.com/update/downloads/id/135638	[25803] [25802]
IPS	5.6.10.28923	http://update.nsfocus.com/update/downloads/id/135637	[25803] [25802]
WAF	6.0.7.3.58018	http://update.nsfocus.com/update/downloads/id/135588	27005147
WAF	6.0.7.0.58018	http://update.nsfocus.com/update/downloads/id/135589	27005147
NF	6.0.1.890	http://update.nsfocus.com/update/downloads/id/135633	25807
NF	6.0.2.890	http://update.nsfocus.com/update/downloads/id/135634	25807

产品规则升级的操作步骤详见如下链接：

IPS：https://mp.weixin.qq.com/s/DxQ3aaap8aujqZf-3VbNJg

WAF：https://mp.weixin.qq.com/s/7F8WCzWsuJ5T2E9e01wNog

NF：https://mp.weixin.qq.com/s/R3k_KJm4O52bxy794jjo4A

5.3 临时防护措施

1.若暂时无法应用补丁，建议禁用OWA来缓解此漏洞

2.禁止非管理员用户使用远程PowerShell访问

微软官方强烈建议Exchange Server用户禁用组织中的非管理员用户进行远程 PowerShell访问：

使用Exchange命令行管理程序为单个用户禁用远程PowerShell访问

Set-User "<username>" -RemotePowerShellEnabled $false

例：禁用用户名为“Therese Lindqvist”的远程PowerShell访问：

Set-User "Therese Lindqvist" -RemotePowerShellEnabled $false

使用Exchange命令行管理程序为多个用户禁用远程PowerShell访问

(1)根据现有属性对多个用户禁用：

步骤一：

$<VariableName> = <Get-Mailbox | Get-User> -ResultSize unlimited -Filter <Filter>

步骤二：

$<VariableName> | foreach {Set-User -RemotePowerShellEnabled $false}

例：删除 Title 属性包含值“Sales Associate”的所有用户对远程 PowerShell 的访问：

步骤一：

$DSA = Get-User -ResultSize unlimited -Filter "(RecipientType -eq 'UserMailbox') -and (Title -like '*Sales Associate*')"

步骤二：

$DSA | foreach {Set-User -RemotePowerShellEnabled $false}

(2)根据对特定的用户列表来禁用：

步骤一：

$<VariableName> = Get-Content <text file>

步骤二：

$<VariableName> | foreach {Set-User -RemotePowerShellEnabled $false

例：删除位于C:My DocumentsNoPowerShell.txt中的所有用户对远程 PowerShell 的访问：

步骤一：

$NPS = Get-Content "C:My DocumentsNoPowerShell.txt"

步骤二：

$NPS | foreach {Set-User -RemotePowerShellEnabled $false}

对于以上禁用用户远程PowerShell访问操作，详情可参考如下链接：https://learn.microsoft.com/en-us/powershell/exchange/control-remote-powershell-access-to-exchange-servers?view=exchange-ps&viewFallbackFrom=exchange-ps%22%20%5Cl%20%22use-the-exchange-management-shell-to-enable-or-disable-remote-powershell-access-for-a-user

3.确保X-Forwarded-For HTTP请求头记录真实的外部IP地址

4.除此之外CrowdStrike已开发脚本用于监视IIS及Powershell日志：https://github.com/CrowdStrike/OWASSRF

END

【处置手册】Exchange Server OWASSRF漏洞（CVE-2022-41080/CVE-2022-41082）

声明

本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，绿盟科技以及安全公告作者不为此承担任何责任。

【处置手册】Exchange Server OWASSRF漏洞（CVE-2022-41080/CVE-2022-41082）

绿盟科技CERT ∣微信公众号

长按识别二维码，关注网络安全威胁信息

原文始发于微信公众号（绿盟科技CERT）：【处置手册】Exchange Server OWASSRF漏洞（CVE-2022-41080/CVE-2022-41082）

左青龙
微信扫一扫

右白虎
微信扫一扫

【处置手册】Exchange Server OWASSRF漏洞（CVE-2022-41080/CVE-2022-41082）

Craft CMS 远程代码执行漏洞复现（附nuclei POC）

漏洞预警 | Google Chrome堆缓冲区溢出漏洞

漏洞预警 | GeoNode请求伪造漏洞

漏洞预警 | Docker Desktop增强容器隔离限制绕过漏洞

漏洞预警 | D-Link D-View 8 硬编码密钥漏洞

(CVE-2023-30591) NodeBB 预身份验证拒绝服务

CVE-2023-41081：Apache Tomcat 连接器中的高严重性漏洞

禅道项目管理系统身份认证绕过[漏洞复现]

LiveGBS-save-任意用户添加漏洞复现

禅道身份认证绕过漏洞QVD-2024-15263

发表评论

在线咨询

微信