CVE-2021-26855, Vulnerabilità critica di Microsoft Exchange

Una gravissima vulnerabilità nel più impiegato servizio di posta elettronica aziendale, che ha esposto migliaia di organizzazioni a gravi rischi di sicurezza.

1. Cos’è CVE-2021-26855?
2. Come funziona CVE-2021-26855?
3. Conseguenze
4. La risposta di Microsoft
5. Best practice contro CVE-2021-26855

Sin dall’avvento della posta elettronica, i sistemi di comunicazione basati su essa ne hanno beneficiato enormemente.
Questo perché inviare e ricevere messaggi di posta ha ridotto enormemente i tempi e virtualmente accorciato le distanze tra gli utenti. Tra le piattaforme più diffuse di questo tipo, Microsoft Exchange Server ha giocato un ruolo fondamentale nella gestione delle comunicazioni aziendali, supportando milioni di utenti in tutto il mondo. La sua capillare diffusione e la centralità nelle operazioni quotidiane, lo hanno reso in breve tempo un obiettivo estremamente appetibile per gli attori malevoli, che non hanno dovuto attendere molto per colpire direttamente al suo cuore.

Nel 2021, una vulnerabilità emersa proprio in Microsoft Exchange, ha scosso profondamente il panorama della sicurezza informatica.
Stiamo parlando della CVE-2021-26855, una vulnerabilità critica che ha spalancato le porte di infrastrutture aziendali e governative ai cybercriminali.

Ma come sempre, andiamo con ordine e affrontiamo per gradi l’argomento.

Cos’è CVE-2021-26855?

Conosciuta anche come ProxyLogon, si tratta di una vulnerabilità di tipo Server-Side Request Forgery (SSRF).
Questa tipologia di falla, permette agli attaccanti di inviare richieste HTTP arbitrarie al server vulnerabile, sfruttando il ruolo di Proxy per ottenere l’accesso a risorse interne. La particolarità di CVE-2021-26855 risiede nella sua pre-autenticazione, il ché si traduce nella non necessità da parte di un atttaccante di essere in possesso di credenziali valide per poterla sfruttare.

La vulnerabilità è stata rilevata nella gestione del protocollo Exchange Web Services (EWS), il quale permette agli attori malevoli di inviare richieste create ad hoc verso endpoint vulnerabili. Manipolando gli header delle richieste, più nello specifico il campo X-Authenticated-User, l’attaccante può simulare di essere un utente legittimo con privilegi elevati, ottenendo un accesso non autorizzato al server Exchange. Ecco perché costui non ha bisogno di alcuna credenziale valida, in quanto risulta già autenticato sin dalla partenza.

La pericolosità di ProxyLogon risiede nelle conseguenze derivanti dal suo sfruttamento. Questo perché permette ad un attaccante di:

• Accedere a caselle di posta elettronica aziendali;
• Eseguire comandi da remoto mediante payload secondari, spesso impiegati in autentiche catene di exploit;
• Installare web shell per assicurarsi una certa persistenza all’interno del sistema, anche dopo la scoperta dell’exploit iniziale;

Tuttavia, è bene sottolineare un dettaglio. ProxyLogon non agisce in maniera isolata, ma è viene spesso sfruttata in combinazione con altre vulnerabilità di Microsoft Exchange. Una su tutte la CVE-2021-26857, che permette l’esecuzione arbitraria di codice (ACE) sfruttando script malevoli realizzati in JavaScript. Ciò permette di ottenere un controllo completo e incondizionato del server target. Da qui si evince la pericolosità della vulnerabilità, in quanto costituisce l’entry point ideale per numerose campagne di attacco condotte su scala globale.

Come funziona CVE-2021-26855?

Come detto nel paragrafo precedente, la vulnerabilità ProxyLogon permette agli attori malevoli di camuffarsi da utenti con privilegi elevati, senza la necessità di autenticazione. La causa scatenante è un problema di tipo SSRF, che permette di aggirare i meccanismi di sicurezza e garantire un accesso non autorizzato al sistema.

Un attacco mirato che punta allo sfruttamento di questa vulnerabilità, ha inizio con una raccolta di informazioni sui server Microsoft Exchange vulnerabili. Ciò avviene mediante l’uso di strumenti automatizzati, come Shodan o il sempreverde Metasploit. L’obiettivo principale di un attore malevolo è individuare gli endpoint che eseguono versioni non patchate del servizio Exchange Web Services (EWS).

Quando il target è individuato, viene inviata a questo una richiesta HTTP appositamente creata. La vulnerabilità risiede nel protocollo EWS, che non valida adeguatamente gli input forniti nei campi header, in particolare l’X-Authenticated-User. Qui sta la chiave del successo dell’attore malevolo, in quanto costui manipola l’header in maniera tale da risultare un utente autenticato con privilegi di amministratore. In tal modo simula la propria legittimità e si autentica senza fornire alcuna credenziale.

Ottenuto l’accesso non autorizzato al server, l’attore malevolo inizia a eseguire una serie di comandi di Microsoft PowerShell integrati in Exchange. Questo per eseguire il dump di tutte le caselle di posta elettronica presenti sul sistema. Comandi come Search-Mailbox e Export-Mailbox sono quelli più efficaci, poiché permettono di filtrare le informazioni e di individuare rapidamente i dati più importanti. Documenti strategici, e-mail riservate, contratti aziendali, informazioni di contatto di fornitori e partner commerciali, rappresentano la proverbiale miniera d’oro per gli attori malevoli, che possono rivenderli liberamente sul dark web ad altri collettivi criminali. Il tutto sfruttando funzionalità legittime della piattaforma.

Per assicurarsi la persistenza nel sistema, gli attori malevoli installano una web shell nel server compromesso.
Questa è tipicamente caricata all’interno delle directory accessibili direttamente dal web server. Si tratta essenzialmente di una serie di script realizzati in ASPX, che fungono da backdoor. In tal modo, gli attori malevoli possono eseguire comandi da remoto, navigare il file system e installare all’interno del server ulteriori malware, o payload secondari. Uno di questi sfrutta proprio ProxyLogon come entry point, in combinazione con la vulnerabilità CVE-2021-26857, per far ottenere agli attori malevoli privilegi di tipo SYSTEM.

Quando ciò avviene, la macchina finisce sotto il loro controllo totale, agevolando notevolmente i movimenti laterali all’interno della rete aziendale.

Conseguenze

Le conseguenze derivanti da un attacco basato su ProxyLogon sono a dir poco devastanti. Le organizzazioni che subiscono un’intrusione di questo tipo, si trovano a dover fare i conti con danni sia economici, che reputazionali. Il furto di informazioni sensibili non solo compromette la sicurezza interna, ma espone anche terze parti, come partner commerciali e clienti, a rischi concreti. Gli attaccanti possono anche rivendere sul dark web i dati esfiltrati, creando implicazioni ben più ampie. Su tutte la perdita di vantaggi competitivi per l’organizzazione colpita. In alcuni casi, questi dati possono anche essere utilizzati per condurre attacchi mirati a concorrenti, creando danni economici diretti e indiretti.

I sistemi compromessi devono essere poi ripristinati con urgenza, ma questo processo implica un periodo di inattività, durante il quale le operazioni aziendali sono quasi completamente paralizzate. A ciò si somma anche un pesante costo per le attività di analisi forense, che richiedono tempo e risorse ingenti per determinare la portata dell’attacco e rinforzare le difese. Inoltre, la perdita di fiducia è forse uno degli aspetti più dannosi per un’azienda. Le violazioni di sicurezza, soprattutto quando colpiscono infrastrutture di posta elettronica e comunicazione interna, minano la reputazione dell’organizzazione. Ciò riduce notevolmente la fiducia degli investitori e allontana potenziali partner e clienti.

La risposta di Microsoft

Il 2 marzo 2021, Microsoft ha rilasciato tempestivamente un Security Update per Exchange Server, con l’obiettivo di correggere la vulnerabilità critica. Tuttavia, questa risposta iniziale ha incontrato delle problematiche, poiché la patch non risolveva in toto i rischi legati a ProxyLogon, permettendo ancora un suo sfruttamento mediante altre vulnerabilità. Ciò ha spinto Microsoft al rilascio di un ulteriore patch correttiva in data 13 aprile 2021, con cui CVE-2021-26855 è stata debellata in toto. Questo secondo aggiornamento ha provveduto a correggere definitivamente l’accesso non autorizzato attraverso Exchange Web Services.

Nonostante il colosso di Redmond abbia prontamente affrontato il problema, non è stato esente da critiche. Questo perché la scoperta e l’uso della vulnerabilità risalivano al mese precedente: cosa che ha permesso ad attori malevoli e collettivi cybercriminali di sfruttarla con largo anticipo. Infatti, nel momento stesso in cui Microsoft ha rilasciato i due Security Updates, numerosi attacchi erano già in atto, con le organizzazioni vulnerabili esposte a compromissioni gravi. La situazione ha sollevato interrogativi circa la necessità di migliorare la velocità di rilascio delle patch, soprattutto considerando che molte aziende non avevano aggiornato i propri sistemi.

Best practices contro CVE-2021-26855

Sebbene non esista un metodo infallibile per prevenire attacchi legati a vulnerabilità come CVE-2021-26855, ci sono pratiche di sicurezza che ogni organizzazione dovrebbe adottare per limitare il rischio di sfruttamento e mitigare i danni derivanti da un eventuale attacco.

• Aggiornamenti costanti di sistema e patching tempestivo
  La protezione più efficace contro le vulnerabilità come CVE-2021-26855 risiede nel mantenere sempre aggiornati i propri sistemi, inclusi gli aggiornamenti di sicurezza di Microsoft. Assicurarsi che tutte le versioni di Microsoft Exchange siano regolarmente patchate riduce significativamente il rischio di sfruttamento di vulnerabilità note e consente di proteggere l’infrastruttura aziendale da attacchi mirati.
• Configurazioni di sicurezza e riduzione dei privilegi
  È fondamentale configurare correttamente le impostazioni di sicurezza, limitando l’accesso e i privilegi degli utenti a livello di sistema. Un accesso meno esteso ai server Exchange riduce la superficie di attacco e limita la possibilità che un attaccante possa ottenere privilegi elevati attraverso la vulnerabilità SSRF.
• Monitoraggio e logging delle attività sospette
  L’attivazione di strumenti di monitoraggio avanzato e l’implementazione di sistemi di logging permettono di rilevare tempestivamente comportamenti anomali e tentativi di sfruttamento della vulnerabilità. È fondamentale monitorare attentamente gli endpoint e le comunicazioni che transitano attraverso Exchange Web Services, per individuare attività potenzialmente dannose.
• Implementare l’autenticazione multifattoriale
  Sebbene CVE-2021-26855 non richieda credenziali valide per sfruttarla, è comunque buona prassi implementare una protezione supplementare come l’autenticazione a più fattori (MFA) per tutti gli utenti. Questo metodo riduce il rischio che un attaccante, una volta ottenuto l’accesso non autorizzato, possa compromettere ulteriormente il sistema.
• Effettuare backup regolari e conservarli su un server isolato dalla rete
  Il backup regolare dei dati sensibili e la conservazione degli stessi su server separati e sicuri, rappresenta la miglior difesa contro il loro eventuale furto. Questo permette un rapido ripristino dei dati in caso di compromissione, riducendo al minimo i tempi di inattività e i danni economici.
• Condurre vulnerability assessment periodici con esperti qualificati
  Questa analisi approfondita permette di identificare le vulnerabilità presenti nei sistemi informatici, prima che possano essere sfruttate da attori malevoli. Cyberment, leader nel settore della cybersecurity, offre un servizio di vulnerability assessment progettato per analizzare e rafforzare la sicurezza di reti, server e applicativi critici. Attraverso metodologie consolidate e strumenti all’avanguardia, il nostro team aiuta le organizzazioni a prevenire incidenti di sicurezza.

In conclusione

Le vulnerabilità come CVE-2021-26855 dimostrano quanto sia importante mantenere alta la guardia e supervisionare costantemente le proprie infrastrutture IT. Nonostante la tempestiva risposta di Microsoft per correggere la criticità, i rischi derivanti da vulnerabilità non risolte tempestivamente sono elevati, poiché impattano sia sulle operazioni aziendali che sulla sicurezza dei dati sensibili. La difficoltà di individuare e neutralizzare un exploit prima che venga utilizzato su larga scala, è una sfida ardua costante. Questo perché i cybercriminali vivono per la caccia alle vulnerabilità e ai metodi di sfruttamento più efficaci.

Per proteggersi, è fondamentale seguire le best practices di sicurezza, come l’aggiornamento continuo dei sistemi, la gestione adeguata dei privilegi e l’implementazione di misure di monitoraggio avanzato. Solo con un impegno continuo nel migliorare la propria difesa, le aziende possono ridurre il rischio di essere vittime di attacchi devastanti come quelli derivanti dalla vulnerabilità ProxyLogon.