Exchange域内提权高危缝隙安全公告

颁布功夫 2019-01-23

缝隙编号和级别


CVE编号：：：CVE-2018-8581，危险级别：：：高危， CVSS分值：：：官方：：：7.4


影响领域


受影响版本：：： 

Microsoft Exchange Server 2010

Microsoft Exchange Server 2013

Microsoft Exchange Server 2016

Microsoft Exchange Server 2019

注：：：Exchange 权限模型分为 Split Permission Model 与 Shared Permission Model（默认），选取 Split Permission Model 的 Exchange 服务器不受此攻击规划影响。


缝隙概述


Microsoft Exchange Server是微软公司的一套电子邮件服务组件。除传统的电子邮件的存取、、、贮存、、、转产生用外，在新版本的产品中亦参与了一系列辅助职能，如语音邮件、、、邮件过滤筛选和OWA（基于Web的电子邮件存�。�。Exchange Server支持多种电子邮件网络和谈，如SMTP、、、NNTP、、、POP3和IMAP4。Exchange Server可能与微软公司的活动目录美满结合。


微软的 Exchange 先前被爆出存在SSRF缝隙，缝隙编号为：：：CVE-2018-8581。近日该缝隙的另一利用步骤被国外安全钻研人员公开并且附带了POC，攻击者利用此缝隙可直接节制指标网络内的 Windows 域进而直接节制域内所有 Windows 机械。目前微软官方还没有推送出最新的补丁来预防该攻击方式，并且微软针对CVE-2018-8581的补丁也不能防御该攻击方式来获取域控权限。


缝隙验证


缝隙利用前提：：：占有域内肆意账户的邮箱帐号密码并且Exchange服务器使用了Shared permission模型(默认启用)。POC：：：https://github.com/dirkjanm/PrivExchange。


修复建议


1.    参考以下链接将 Exchange 权限模型更改为 Split Permission Model：：：

https://docs.microsoft.com/en-us/exchange/understanding-split-permissions-exchange-2013-help

https://docs.microsoft.com/en-us/exchange/managing-split-permissions-exchange-2013-help


2. 在域节制器上开启smb署名检验(若域内有WindowsNT或以下机械必要SMB校验不推荐使用)

运行注册表编纂器 (Regedt32.exe)。

HKEY_LOCAL_MACHIME\System\CurrentControlSet\Services\LanManServer\Paramete中将 EnableSecuritySignature 跟 RequireSecuritySignature 的值都改为1而后确定并重新启动Windows。



OG东方厅·(中国大陆)


或者将下面号令保留成批处置在域控机械上以治理员权限运行，运行成功后重启域控服务器。


reg  add"HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\LanmanWorkStation\Parameters"/v "RequireSecuritySignature" /t REG_DWORD /d 1 /f

reg  add"HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\LanmanWorkStation\Parameters"/v "EnableSecuritySignature" /t REG_DWORD /d 1 /f

reg  add"HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\LanmanServer\Parameters"/v "RequireSecuritySignature" /t REG_DWORD /d 1 /f

reg  add"HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\LanmanServer\Parameters"/v "EnableSecuritySignature" /t REG_DWORD /d 1 /f


参考链接


https://dirkjanm.io/abusing-exchange-one-api-call-away-from-domain-admin/

https://github.com/dirkjanm/PrivExchange