CVE-2022-41080

説明

CrowdStrikeは最近、CVE-2022-41080とCVE-2022-41082から構成される新しいエクスプロイト手法（OWASSRFと呼称）を発見しました。この手法はOutlook Web Access（OWA）を介したリモートコード実行（RCE）を達成します。この新しいエクスプロイト手法は、ProxyNotShellに対応してMicrosoftが提供したAutodiscoverエンドポイント向けのURL書き換え緩和策を回避します。
この発見は、最近のCrowdStrike ServicesによるいくつかのPlayランサムウェア侵入の調査の一環であり、共通のエントリベクターがMicrosoft Exchangeであることが確認されました。
この新しいエクスプロイト手法による初期アクセス後、脅威アクターは正規のPlinkおよびAnyDesk実行ファイルを活用してアクセスを維持し、Microsoft Exchangeサーバー上でアンチフォレンジック手法を実行して活動を隠蔽しようと試みました。