【漏洞通告】Microsoft Exchange Server远程代码执行漏洞（CVE-2022-41082）

0x01 漏洞详情

0x02 安全建议

l打开 IIS 管理器。

l展开默认网站。

l选择自动发现。

l在功能视图中，单击 URL 重写。

l在右侧的“操作”窗格中，单击“添加规则”。  

l选择请求阻止，然后单击确定。 

l添加字符串“.*autodiscover.json.*@.*Powershell.*”（不包括引号），然后单击“确定”。 

l展开规则并选择模式为“.*autodiscover.json.*@.*Powershell.*”的规则，然后单击条件下的编辑。 

l将条件输入从 {URL} 更改为 {REQUEST_URI} 。

此外，经过认证的攻击者如果能在存在漏洞的Exchange系统上访问PowerShell Remoting，就可以利用CVE-2022-41082触发RCE。建议管理员阻止以下远程 PowerShell 端口以阻止攻击：

HTTP：5985

HTTPS：5986

如果想检查 Exchange Server是否已被入侵，管理员可以使用以下方式：

1.运行以下 PowerShell 命令来扫描 IIS 日志文件以寻找入侵迹象：

Get-ChildItem -Recurse -Path <Path_IIS_Logs> -Filter "*.log" | Select-String -Pattern 'powershell.*autodiscover.json.*@.*200'

2.使用GTSC开发的搜索工具，基于exploit签名，搜索时间比使用powershell要短。

下载链接：https://github.com/ncsgroupvn/NCSE0Scanner

注：若已被攻击，IIS 日志中可能检测到与ProxyShell 漏洞格式类似的利用请求：autodiscover/[email protected]/<Exchange-backend-endpoint>&Email=autodiscover/autodiscover.json %[email protected]。

0x03 参考链接

0x04 版本信息

0x05 附录

原文始发于微信公众号（维他命安全）：【漏洞通告】Microsoft Exchange Server远程代码执行漏洞（CVE-2022-41082）