ProxyLogon

ProxyLogon は、CVE-2021-26855 の正式な一般名称です。これは Microsoft Exchange Server の脆弱性であり、攻撃者が認証をバイパスして管理者になりすますことを可能にします。このバグを、別の認証後任意ファイル書き込み脆弱性である CVE-2021-27065 と連鎖させ、コード実行を実現しました。(出典: proxylogon.com)

免責事項

この GitHub リポジトリで提供される情報は、教育目的のみです。この GitHub 上のすべての情報は誠意をもって提供されていますが、私は明示的または黙示的を問わず、いかなる情報の正確性、適切性、有効性、信頼性、可用性、または完全性に関して、一切の表明または保証を行いません。

はじめに

必要条件

• このスクリプトには Python3 と urllib ライブラリが必要です。

脆弱性をテストする場合は、自身の (本番環境以外の) システムでのみ行ってください。

python ProxyLogon.py <hostname> <email>

スクリーンショット

緩和策

更新プログラム

累積更新プログラム

以下のセキュリティ更新プログラムは、次の Microsoft Exchange Server バージョンで利用可能です。

• Microsoft Exchange Server 2013 Cumulative Update 23
• Microsoft Exchange Server 2016 Cumulative Update 18
• Microsoft Exchange Server 2016 Cumulative Update 19
• Microsoft Exchange Server 2019 Cumulative Update 7
• Microsoft Exchange Server 2019 Cumulative Update 8

出典: https://www.ncsc.nl/actueel/nieuws/2021/maart/5/update-microsoft-exchange-server

その他のリソース (スキャナー、IOC)

• https://www.microsoft.com/security/blog/2021/03/02/hafnium-targeting-exchange-servers/
• https://github.com/microsoft/CSS-Exchange/tree/main/Security
• https://www.fireeye.com/blog/threat-research/2021/03/detection-response-to-exploitation-of-microsoft-exchange-zero-day-vulnerabilities.html
• https://us-cert.cisa.gov/ncas/alerts/aa21-062a
• https://news.sophos.com/en-us/2021/03/05/hafnium-advice-about-the-new-nation-state-attack/
• https://github.com/Neo23x0/signature-base/blob/master/yara/apt_hafnium_log_sigs.yar

クレジット

• DEVCORE の研究者
• Testanull (PoC) および関連ブログ記事: https://testbnull.medium.com/ph%C3%A2n-t%C3%ADch-l%E1%BB%97-h%E1%BB%95ng-proxylogon-mail-exchange-rce-s%E1%BB%B1-k%E1%BA%BFt-h%E1%BB%A3p-ho%C3%A0n-h%E1%BA%A3o-cve-2021-26855-37f4b6e06265