Le fournisseur de services cloud Rackspace a confirm\u00e9 jeudi que le gang de ran\u00e7ongiciels connu sous le nom de Jouer<\/b> \u00e9tait responsable de la violation du mois dernier.<\/p>\n
L’incident de s\u00e9curit\u00e9, qui a eu lieu le 2 d\u00e9cembre 2022, a tir\u00e9 parti d’un exploit de s\u00e9curit\u00e9 jusque-l\u00e0 inconnu pour obtenir un acc\u00e8s initial \u00e0 l’environnement de messagerie Rackspace Hosted Exchange.<\/p>\n
“Cet exploit zero-day est associ\u00e9 \u00e0 CVE-2022-41080<\/a>“, la soci\u00e9t\u00e9 texane m’a dit<\/a>. “Microsoft a divulgu\u00e9 CVE-2022-41080 comme une vuln\u00e9rabilit\u00e9 d’escalade de privil\u00e8ges et n’a pas inclus de notes pour faire partie d’une cha\u00eene d’ex\u00e9cution de code \u00e0 distance qui \u00e9tait exploitable.”<\/p>\n L’enqu\u00eate m\u00e9dico-l\u00e9gale de Rackspace a r\u00e9v\u00e9l\u00e9 que l’auteur de la menace avait acc\u00e9d\u00e9 \u00e0 la table de stockage personnelle (.TVP<\/a>) de 27 clients sur pr\u00e8s de 30 000 clients sur l’environnement de messagerie Hosted Exchange.<\/p>\n Cependant, la soci\u00e9t\u00e9 a d\u00e9clar\u00e9 qu’il n’y avait aucune preuve que l’adversaire ait vu, abus\u00e9 ou distribu\u00e9 les e-mails ou les donn\u00e9es du client \u00e0 partir de ces dossiers de stockage personnels. Il a en outre d\u00e9clar\u00e9 qu’il avait l’intention de retirer sa plate-forme Hosted Exchange dans le cadre d’une migration pr\u00e9vue vers Microsoft 365.<\/p>\n On ne sait pas actuellement si Rackspace a pay\u00e9 une ran\u00e7on aux cybercriminels, mais la divulgation fait suite \u00e0 un rapport de CrowdStrike le mois dernier qui a fait la lumi\u00e8re sur la nouvelle technique, baptis\u00e9e OWASSRF, employ\u00e9e par les acteurs du ran\u00e7ongiciel Play.<\/p>\n Le m\u00e9canisme cible les serveurs Exchange non corrig\u00e9s contre les vuln\u00e9rabilit\u00e9s ProxyNotShell (CVE-2022-41040<\/a> et CVE-2022-41082<\/a>) mais ont mis en place des att\u00e9nuations de r\u00e9\u00e9criture d’URL pour le point de terminaison de d\u00e9couverte automatique.<\/p>\n Cela implique une cha\u00eene d’exploitation comprenant CVE-2022-41080 et CVE-2022-41082 pour r\u00e9aliser l’ex\u00e9cution de code \u00e0 distance d’une mani\u00e8re qui contourne les r\u00e8gles de blocage via Outlook Web Access (OWA). Les failles ont \u00e9t\u00e9 corrig\u00e9es par Microsoft en novembre 2022.<\/p>\n Le fabricant de Windows, dans une d\u00e9claration partag\u00e9e avec The Hacker News, a exhort\u00e9 les clients \u00e0 donner la priorit\u00e9 \u00e0 l’installation de son Mises \u00e0 jour du serveur Exchange de novembre 2022<\/a> et que la m\u00e9thode signal\u00e9e cible les syst\u00e8mes vuln\u00e9rables qui n’ont pas appliqu\u00e9 les derniers correctifs.<\/p>\n <\/p>\n