CVE-2021-26855

CVE-2021-26855 exploitation simple SSRF Pratique de Golang

Versions affectées

Exchange Server 2013 antérieures à CU23 Exchange Server 2016 antérieures à CU18 Exchange Server 2019 antérieures à CU7

Conditions d'exploitation

Cette vulnérabilité diffère des vulnérabilités Exchange précédentes ; elle ne nécessite pas d'identité d'utilisateur connecté et permet d'accéder aux ressources utilisateur internes sans autorisation. Combinée à CVE-2021-27065, elle peut permettre l'exécution de commandes à distance.

Conditions nécessaires au déclenchement de la vulnérabilité

• Le serveur cible est vulnérable
• Le serveur Exchange cible doit être un serveur de répartition de charge (load balancing), c'est-à-dire utilisant au moins deux serveurs.
• Adresse de boîte aux lettres cible : notez qu'il doit s'agir d'une adresse de messagerie de domaine (une adresse e-mail, pas une adresse de boîte aux lettres ; il y a une différence).
• L'attaquant doit également identifier le nom de domaine complet (FQDN) du serveur Exchange interne.

Parmi ces quatre éléments, le FQDN peut être obtenu en capturant un message NTLM de type 2 ; l'adresse e-mail peut être directement énumérée.

Instructions d'utilisation

Pour exploiter cette vulnérabilité, il est plus pratique d'utiliser un langage de script comme Ruby ou Python. L'avoir écrit en Golang était principalement pour apprendre Golang, donc cet outil est seulement une ébauche. Je le mettrai à jour quand j'aurai du temps.

Cet outil prend en charge la détection de vulnérabilités et l'énumération d'utilisateurs. Il peut lire l'ID et le sujet des e-mails (en réalité de la modification de contenu XML). Pour l'exploitation ultérieure, reportez-vous à 8581 ; il s'agit de soumettre du XML.

Utilisation :

go run CVE-2021-21978.go -h <target ip>

  -h string        Obligatoire, adresse ou nom de domaine de la cible
  -U string        Optionnel, liste des utilisateurs à énumérer
  -d               Optionnel, télécharger les e-mails
  -l               Optionnel, lister les e-mails
  -n string        Optionnel, à renseigner si FQND doit être spécifié
  -t string        Optionnel, délai entre les requêtes (par défaut "1")
  -u string        Optionnel, spécifier la cible (par défaut "administrator")

Mise à jour de la fonction de téléchargement