ProxyLogon

ProxyLogon은 CVE-2021-26855의 공식적인 일반 이름이며, Microsoft Exchange Server의 취약점으로 공격자가 인증을 우회하고 관리자로 가장할 수 있습니다. 또한 이 버그를 다른 사후 인증 임의 파일 쓰기 취약점인 CVE-2021-27065와 연결하여 코드 실행을 달성했습니다. (출처: proxylogon.com)

면책 조항

이 GitHub 저장소에 제공된 정보는 교육 목적으로만 제공됩니다. 이 GitHub의 모든 정보는 선의로 제공되지만, 정보의 정확성, 적절성, 유효성, 신뢰성, 가용성 또는 완전성에 대해 어떠한 종류의 명시적 또는 묵시적 진술이나 보증도 하지 않습니다.

시작하기

요구 사항

• 이 스크립트는 Python3와 urllib 라이브러리를 사용해야 합니다.

취약점을 테스트하려면 (프로덕션이 아닌) 시스템에서만 수행하세요.

python ProxyLogon.py <hostname> <email>

스크린샷

완화 조치

업데이트

누적 업데이트

다음 Microsoft Exchange Server 버전에 대해 다음 보안 업데이트를 사용할 수 있습니다:

• Microsoft Exchange Server 2013 누적 업데이트 23
• Microsoft Exchange Server 2016 누적 업데이트 18
• Microsoft Exchange Server 2016 누적 업데이트 19
• Microsoft Exchange Server 2019 누적 업데이트 7
• Microsoft Exchange Server 2019 누적 업데이트 8

출처: https://www.ncsc.nl/actueel/nieuws/2021/maart/5/update-microsoft-exchange-server

기타 리소스 (스캐너, IOCs)

• https://www.microsoft.com/security/blog/2021/03/02/hafnium-targeting-exchange-servers/
• https://github.com/microsoft/CSS-Exchange/tree/main/Security
• https://www.fireeye.com/blog/threat-research/2021/03/detection-response-to-exploitation-of-microsoft-exchange-zero-day-vulnerabilities.html
• https://us-cert.cisa.gov/ncas/alerts/aa21-062a
• https://news.sophos.com/en-us/2021/03/05/hafnium-advice-about-the-new-nation-state-attack/
• https://github.com/Neo23x0/signature-base/blob/master/yara/apt_hafnium_log_sigs.yar

크레딧

• DEVCORE의 연구원들
• Testanull (PoC) 및 관련 블로그 게시물: https://testbnull.medium.com/ph%C3%A2n-t%C3%ADch-l%E1%BB%97-h%E1%BB%95ng-proxylogon-mail-exchange-rce-s%E1%BB%B1-k%E1%BA%BFt-h%E1%BB%A3p-ho%C3%A0n-h%E1%BA%A3o-cve-2021-26855-37f4b6e06265