服务器之家:专注于服务器技术及软件下载分享
分类导航

云服务器|WEB服务器|FTP服务器|邮件服务器|虚拟主机|服务器安全|DNS服务器|服务器知识|Nginx|IIS|Tomcat|

服务器之家 - 服务器技术 - 服务器安全 - Microsoft Exchange中的Autodiscover漏洞泄露大量凭证

Microsoft Exchange中的Autodiscover漏洞泄露大量凭证

2021-09-28 22:26TechTarget中国邹铮 编译 服务器安全

根据新的Guardicore研究,Microsoft Exchange中使用的协议Autodiscover存在漏洞,该漏洞导致各种Windows和Microsoft登录凭证遭泄漏。

根据新的Guardicore研究,Microsoft Exchange中使用的协议Autodiscover存在漏洞,该漏洞导致各种Windows和Microsoft登录凭证遭泄漏。

Exchange使用Autodiscover来自动配置客户端应用程序,例如Microsoft Outlook。企业安全供应商Guardicore的安全研究区域副总裁Amit Serper在该公司专门针对该漏洞的帖子中写道,Autodiscover存在一个设计缺陷,导致该协议将Web请求‘泄漏’到用户域外的Autodiscover域,但仍在同一顶级域 (TLD) 中,例如 Autodiscover.com。

Guardicore研究人员随后测试了该漏洞。

Microsoft Exchange中的Autodiscover漏洞泄露大量凭证

Serper在该博客文章中写道:“Guardicore Labs购得多个带有 TLD 后缀的 Autodiscover 域,并将它们设置为定向到我们控制的Web服务器。此后不久,我们检测到大量泄漏的Windows域凭证到达我们服务器。”

该供应商购买的域名示例包括 Autodiscover.com.br、Autodiscover.com.cn和 Autodiscover.com.co;该帖子包含有关域名如何被滥用的大量技术细节。

Serper写道,从4月16日到8月25日,Guardicore利用该漏洞捕获 372,072 个 Windows 域凭据和 96,671 个从各种应用程序泄漏的独特凭据,例如 Microsoft Outlook、移动电子邮件客户端和其他与 Microsoft Exchange 服务器连接的应用程序。

Autodiscover漏洞并不是一个新问题。Serper表示,Shape Security于 2017 年首次披露了该核心漏洞,并于当年在 Black Hat Asia 上展示了调查结果。当时,CVE-2016-9940 和 CVE-2017-2414 漏洞被发现仅影响移动设备上的电子邮件客户端。Serper写道:“Shape Security 披露的漏洞已得到修补,但是,在2021年我们面临更大的威胁,更多第三方应用程序面临相同的问题。”

该文章提出了两种缓解措施:一种针对公众,一种针对软件开发人员和供应商。

对于使用Exchange的普通公众,Guardicore 建议用户在其防火墙中阻止Autodiscover域。 Serper 还表示,在配置 Exchange 设置时,用户应该“确保禁用对基本身份验证的支持”。Serper 继续说道,“使用 HTTP 基本身份验证相当于通过网络以明文形式发送密码。”

与此同时,开发人员应该确保他们不会让Autodiscover协议蔓延。

Serper称:“请确保在你的产品中部署Autodiscover协议时,即Autodiscover等域永远不应该由‘退避’算法构建。”

漏洞披露纠纷

微软批评 Guardicore 在发布其研究之前没有遵循漏洞披露流程。这家科技巨头与 SearchSecurity分享了以下声明,来自微软高级总监Jeff Jones。

Jones 写到:“我们正在积极调查,并将采取适当措施保护客户。我们致力于协调漏洞披露,这是一种行业标准的协作方法,可在问题公开之前为客户降低不必要的风险。不幸的是,在研究人员营销团队向媒体展示此问题之前并未向我们报告此问题。”

Serper 在周三晚上的一条推文中回应了这一声明,该声明已发送给其他媒体。

他表示:“我的报告清楚地引用了2017 年提出这个问题的研究:请参阅 2017 年的这篇论文,正如 Black Hat Asia 2017 中提出的那样。这不是0day,这已经过了1460天,至少。微软不可能不知道这个漏洞。”

原文地址:https://searchsecurity.techtarget.com.cn/11-26476/

延伸 · 阅读

精彩推荐