企业采用对认证OutlookWebAccess运行ExchangeServer(OWA)存在安全认证漏洞。 企业运行ExchangeServer新漏洞,在认证OutlookWebAccess实现(OWA)存在漏洞,可以轻松绕过,只因开发上的缺陷。 攻击
企业采用对认证Outlook Web Access运行Exchange Server(OWA)存在安全认证漏洞。
企业运行Exchange Server新漏洞,在认证Outlook Web Access实现(OWA)存在漏洞,可以轻松绕过,只因开发上的缺陷。
攻击者可以绕过Outlook Web Access认证并访问其他用户电子邮件收件箱、日历、联系人和其他敏感数据的企业定位。
缺陷事实存在,Exchange服务器也暴露了Exchange Web服务相关(EWS)接口和OWA,但这不是由Outlook Web Access认证保护。
攻击者可以破解OWA服务器针对EWS和Outlook Web Access共享相同端口。
信息安全研究员Beau Bullock上周将此漏洞私下报告给微软。
Bullock说,主要问题在于Outlook Web Access和Exchange Web运行在同一个Web服务器,危险服务都是默认启用的,往往企业忽视。
甚至使2FA OWA,EWS还暴露一个类型认证的漏洞服务器。
在试验中,Bullock参考Outlook 2FA安全配置为OWA服务器进行配置,然后使用EWS测试帐户凭据,在相同服务器进行检测。
Bullock使用的工具是他开发的mailsniper,在微软Exchange环境中搜索邮箱敏感数据。
Bullock的博客说:DerbyCon 6mailsniper for searching mailboxes for sensitive data in a Microsoft Exchange environment. MailSniper utilizes Exchange Web服务(EWS)当连接到Exchange服务器来获取用户的收件箱中的邮件。EWS是一个基于网络的API启用Exchange服务器,微软建议用户使用时,需要开发客户端应用程序接口与交换。
下面由Bullock发布了的攻击视频和PoC:
Bullock实验显示Exchange Web服务的2FA的存在可能被攻击者利用Outlook Web漏洞侵入其他类似漏洞的服务器。
Bullock最后说:“很多门户网站都是因为没有完全保护认证安全协议,微软Exchange。在本篇文章可以看出,Exchange Web服务不被流行的认证的软件保护,可能仍然存在漏洞,导致泄露登录凭据后,攻击用户的电子邮件。还有其他的服务,也许会有一个类似的漏洞,比如MAPI的HTTP,或者第三方安全认证软件。