Surnomm\u00e9 ProxyNotShell, un nouvel exploit utilis\u00e9 dans la nature tire parti de la vuln\u00e9rabilit\u00e9 CVE-2022-41040 Microsoft Server-Side Request Forgery (SSRF) r\u00e9cemment publi\u00e9e et d’une deuxi\u00e8me vuln\u00e9rabilit\u00e9, CVE-2022-41082, qui permet l’ex\u00e9cution de code \u00e0 distance (RCE) lorsque PowerShell est disponible pour les attaquants non identifi\u00e9s.<\/p>\n
Bas\u00e9 sur ProxyShell, ce nouveau risque d’abus zero-day exploite une attaque en cha\u00eene similaire \u00e0 celle utilis\u00e9e dans l’attaque ProxyShell de 2021 qui exploitait la combinaison de plusieurs vuln\u00e9rabilit\u00e9s – CVE-2021-34523, CVE-2021-34473 et CVE-2021- 31207 – pour permettre \u00e0 un acteur distant d’ex\u00e9cuter du code arbitraire.<\/p>\n
Malgr\u00e9 la gravit\u00e9 potentielle des attaques qui les utilisent, les vuln\u00e9rabilit\u00e9s ProxyShell figurent toujours sur la liste CISA des principales vuln\u00e9rabilit\u00e9s r\u00e9guli\u00e8rement exploit\u00e9es en 2021.<\/p>\n
D\u00e9couvrez ProxyNotShell <\/h2>\n
Enregistr\u00e9 le 19 septembre 2022, CVE-2022-41082 est un vecteur d’attaque ciblant les serveurs Exchange de Microsoft, permettant des attaques de faible complexit\u00e9 avec peu de privil\u00e8ges requis. Les services impact\u00e9s, s’ils sont vuln\u00e9rables, permettent \u00e0 un attaquant authentifi\u00e9 de compromettre le serveur d’\u00e9change sous-jacent en exploitant le PowerShell d’\u00e9change existant, ce qui pourrait entra\u00eener une compromission compl\u00e8te.<\/p>\n
\u00c0 l’aide de CVE-2022-41040, une autre vuln\u00e9rabilit\u00e9 Microsoft \u00e9galement enregistr\u00e9e le 19 septembre 2022, un attaquant peut d\u00e9clencher \u00e0 distance CVE-2022-41082 pour ex\u00e9cuter des commandes \u00e0 distance.<\/p>\n
Bien qu’un utilisateur doive avoir le privil\u00e8ge d’acc\u00e9der \u00e0 CVE-2022-41040, ce qui devrait r\u00e9duire l’accessibilit\u00e9 de la vuln\u00e9rabilit\u00e9 aux attaquants, le niveau de privil\u00e8ge requis est faible.<\/p>\n
Au moment de la r\u00e9daction de cet article, Microsoft n’a pas encore publi\u00e9 de correctif, mais recommande aux utilisateurs ajouter une r\u00e8gle de blocage<\/a> comme mesure d’att\u00e9nuation.<\/p>\n Les deux vuln\u00e9rabilit\u00e9s ont \u00e9t\u00e9 d\u00e9couvertes lors d’une attaque active contre GTSC, une organisation vietnamienne appel\u00e9e GTSC, permettant aux attaquants d’acc\u00e9der \u00e0 certains de leurs clients. Bien qu’aucune vuln\u00e9rabilit\u00e9 en soi ne soit particuli\u00e8rement dangereuse, les exploits les encha\u00eenant pourraient potentiellement conduire \u00e0 des violations catastrophiques.<\/p>\n Les vuln\u00e9rabilit\u00e9s encha\u00een\u00e9es pourraient donner \u00e0 un attaquant ext\u00e9rieur la possibilit\u00e9 de lire les e-mails directement depuis le serveur d’une organisation, la possibilit\u00e9 de violer l’organisation avec CVE-2022-41040 Remote Code Execution et d’implanter des logiciels malveillants sur le serveur Exchange de l’organisation avec CVE-2022-41082.<\/p>\n Bien qu’il semble que les attaquants auraient besoin d’un certain niveau d’authentification pour activer l’exploit de vuln\u00e9rabilit\u00e9s en cha\u00eene, le niveau exact d’authentification requis – not\u00e9 “Faible” par Microsoft – n’est pas encore clarifi\u00e9. Pourtant, ce faible niveau d’authentification requis devrait emp\u00eacher efficacement une attaque massive et automatis\u00e9e ciblant tous les serveurs Exchange du monde entier. Esp\u00e9rons que cela emp\u00eachera une r\u00e9p\u00e9tition de la d\u00e9b\u00e2cle ProxyShell 2021.<\/p>\n Pourtant, trouver une seule combinaison adresse e-mail\/mot de passe valide sur un serveur Exchange donn\u00e9 ne devrait pas \u00eatre trop difficile, et, comme cette attaque contourne la validation du jeton MFA ou FIDO pour se connecter \u00e0 Outlook Web Access, une seule combinaison adresse e-mail\/mot de passe compromise est tout. cela est n\u00e9cessaire.<\/p>\n Au moment de la r\u00e9daction de cet article, Microsoft n’a pas encore publi\u00e9 de correctif, mais recommande aux utilisateurs ajouter une r\u00e8gle de blocage<\/a> comme mesure d’att\u00e9nuation d’efficacit\u00e9 inconnue.<\/p>\n Le blocage du trafic entrant vers les serveurs Exchange contenant des assertions critiques est \u00e9galement une option, bien que r\u00e9alisable uniquement si une telle mesure n’affecte pas les op\u00e9rations vitales et devrait id\u00e9alement \u00eatre per\u00e7ue comme une mesure temporaire en attendant la publication par Microsoft d’un correctif v\u00e9rifi\u00e9.<\/p>\n Comme les options d’att\u00e9nuation actuelles sont soit d’une efficacit\u00e9 non v\u00e9rifi\u00e9e, soit potentiellement pr\u00e9judiciables au bon d\u00e9roulement des op\u00e9rations, l’\u00e9valuation du degr\u00e9 d’exposition \u00e0 ProxyNotShell pourrait emp\u00eacher de prendre des mesures pr\u00e9ventives inutiles potentiellement perturbatrices, ou indiquer quels actifs migrer de mani\u00e8re pr\u00e9ventive vers des serveurs non expos\u00e9s.<\/p>\n Cymulate Research Lab a d\u00e9velopp\u00e9 un \u00e9valuation sur mesure pour ProxyNotShell<\/a> qui permettent aux organisations d’estimer pr\u00e9cis\u00e9ment leur degr\u00e9 d’exposition \u00e0 ProxyNotShell.<\/p>\n Un vecteur d’attaque ProxyNotShell a \u00e9t\u00e9 ajout\u00e9 aux mod\u00e8les de sc\u00e9narios avanc\u00e9s, et son ex\u00e9cution sur votre environnement fournit les informations n\u00e9cessaires pour valider l’exposition – ou son absence – \u00e0 ProxyNotShell.<\/p>\n Jusqu’\u00e0 ce que des correctifs v\u00e9rifi\u00e9s soient disponibles aupr\u00e8s de Microsoft, \u00e9valuer l’exposition \u00e0 ProxyNotShell pour \u00e9valuer exactement quels serveurs sont des cibles potentielles est le moyen le plus rentable d’\u00e9valuer exactement quels actifs sont expos\u00e9s et de concevoir des mesures pr\u00e9ventives cibl\u00e9es avec un impact maximal.<\/p>\n Par Laboratoires de recherche Cymulate<\/a><\/p>\n <\/p>\n<\/div>\nAtt\u00e9nuation de l’exposition \u00e0 ProxyNotShell<\/h2>\n
\u00c9valuation de l’exposition \u00e0 ProxyNotShell<\/h2>\n
![\"ProxyNotShell\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/10\/ProxyNotShell-\u2013-le-nouvel-enfer-des-proxys.png\" "\\"ProxyNotShell\\"")
<\/div>\n![\"ProxyNotShell\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/10\/1664872770_139_ProxyNotShell-\u2013-le-nouvel-enfer-des-proxys.png\" "\\"ProxyNotShell\\"")
<\/div>\n