Microsoft a reconnu mercredi qu’une faille de s\u00e9curit\u00e9 critique r\u00e9cemment r\u00e9v\u00e9l\u00e9e dans Exchange Server avait \u00e9t\u00e9 activement exploit\u00e9e, un jour apr\u00e8s avoir publi\u00e9 des correctifs pour la vuln\u00e9rabilit\u00e9 dans le cadre de ses mises \u00e0 jour du Patch Tuesday.<\/p>\n
Suivi comme CVE-2024-21410<\/strong> (score CVSS : 9,8), le probl\u00e8me a \u00e9t\u00e9 d\u00e9crit comme un cas d’\u00e9l\u00e9vation de privil\u00e8ges impactant le serveur Exchange.<\/p>\n “Un attaquant pourrait cibler un client NTLM tel qu’Outlook avec une vuln\u00e9rabilit\u00e9 de type fuite d’informations d’identification NTLM”, indique la soci\u00e9t\u00e9. dit<\/a> dans un avis publi\u00e9 cette semaine.<\/p>\n “Les informations d’identification divulgu\u00e9es peuvent ensuite \u00eatre relay\u00e9es contre le serveur Exchange pour obtenir des privil\u00e8ges en tant que client victime et effectuer des op\u00e9rations sur le serveur Exchange au nom de la victime.”<\/p>\n Une exploitation r\u00e9ussie de la faille pourrait permettre \u00e0 un attaquant de relayer le hachage Net-NTLMv2 d’un utilisateur contre un serveur Exchange sensible et de s’authentifier en tant qu’utilisateur, a ajout\u00e9 Redmond.<\/p>\n Le g\u00e9ant de la technologie, dans une mise \u00e0 jour de son bulletin, a r\u00e9vis\u00e9 son \u00e9valuation d’exploitabilit\u00e9 \u00e0 \u00ab Exploitation d\u00e9tect\u00e9e \u00bb, notant qu’il a d\u00e9sormais activ\u00e9<\/a> Protection \u00e9tendue pour l’authentification (EPA<\/a>) par d\u00e9faut avec la mise \u00e0 jour Exchange Server 2019 Cumulative Update 14 (CU14).<\/p>\n Les d\u00e9tails sur la nature de l\u2019exploitation et l\u2019identit\u00e9 des acteurs mena\u00e7ants qui pourraient exploiter la faille sont actuellement inconnus. Cependant, des \u00e9quipes de hackers affili\u00e9es \u00e0 l’\u00c9tat russe, telles qu’APT28 (alias Forest Blizzard), exploitent depuis longtemps les failles de Microsoft Outlook pour organiser des attaques par relais NTLM.<\/p>\n Plus t\u00f4t ce mois-ci, Trend Micro a impliqu\u00e9 l’adversaire dans des attaques par relais NTLM ciblant des entit\u00e9s de grande valeur au moins depuis avril 2022. Les intrusions ciblaient des organisations s’occupant des affaires \u00e9trang\u00e8res, de l’\u00e9nergie, de la d\u00e9fense et des transports, ainsi que celles impliqu\u00e9es dans le travail, la protection sociale. , les finances, la parentalit\u00e9 et les conseils municipaux locaux.<\/p>\n CVE-2024-21410 s’ajoute \u00e0 deux autres failles Windows \u2013 CVE-2024-21351 (score CVSS : 7,6) et CVE-2024-21412 (score CVSS : 8,1) \u2013 qui ont \u00e9t\u00e9 corrig\u00e9es par Microsoft cette semaine et activement militaris\u00e9es en r\u00e9alit\u00e9. attaques mondiales.<\/p>\n L’exploitation de CVE-2024-21412, un bug qui permet de contourner les protections Windows SmartScreen, a \u00e9t\u00e9 attribu\u00e9e \u00e0 une menace persistante avanc\u00e9e baptis\u00e9e Water Hydra (alias DarkCasino), qui a d\u00e9j\u00e0 exploit\u00e9 le zero-day dans WinRAR pour d\u00e9ployer le cheval de Troie DarkMe. .<\/p>\n “Le groupe a utilis\u00e9 des raccourcis Internet d\u00e9guis\u00e9s en image JPEG qui, lorsqu’ils sont s\u00e9lectionn\u00e9s par l’utilisateur, permettent \u00e0 l’acteur malveillant d’exploiter CVE-2024-21412”, a d\u00e9clar\u00e9 Trend Micro. “Le groupe peut alors contourner Microsoft Defender SmartScreen et compromettre enti\u00e8rement l’h\u00f4te Windows dans le cadre de sa cha\u00eene d’attaque.”<\/p>\n La mise \u00e0 jour Patch Tuesday de Microsoft corrige \u00e9galement CVE-2024-21413, une autre lacune critique affectant le logiciel de messagerie Outlook qui pourrait entra\u00eener l’ex\u00e9cution de code \u00e0 distance en contournant trivialement les mesures de s\u00e9curit\u00e9 telles que la vue prot\u00e9g\u00e9e.<\/p>\n Nomm\u00e9 de code MonikerLink par Check Point, le probl\u00e8me \u00ab permet un impact large et s\u00e9rieux, allant de la fuite d’informations d’identification NTLM locales \u00e0 l’ex\u00e9cution de code arbitraire \u00bb.<\/p>\n La vuln\u00e9rabilit\u00e9 provient de l’analyse incorrecte des hyperliens \u00ab file:\/\/ \u00bb en ajoutant un point d’exclamation aux URL pointant vers des charges utiles arbitraires h\u00e9berg\u00e9es sur des serveurs contr\u00f4l\u00e9s par des attaquants (par exemple, \u00ab file:\/\/\/\\10.10.111.111testtest .rtf!quelque chose”).<\/p>\n “Le bug permet non seulement la fuite des informations NTLM locales, mais il peut \u00e9galement permettre l’ex\u00e9cution de code \u00e0 distance et bien plus encore comme vecteur d’attaque”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9. dit<\/a>. “Il pourrait \u00e9galement contourner la vue prot\u00e9g\u00e9e d’Office lorsqu’il est utilis\u00e9 comme vecteur d’attaque pour cibler d’autres applications Office.”<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/02\/Faille-critique-du-serveur-Exchange-CVE-2024-21410-en-exploitation-active.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n