小心Email被監聽!微軟Exchange出現新的重大漏洞! – 郵箱網

郵箱網訊 9月3日消息 繼3月出現「ProxyLogon」漏洞之后,微軟Exchange 又再度出現名為「ProxyToken」(CVE-2021-33766)的全新重大安全漏洞。研究人員稱之為 ProxyToken 的 Microsoft Exchange Server 中存在一個嚴重的安全漏洞,可能允許未經身份驗證的攻擊者訪問和竊取目標郵箱中的電子郵件。
微軟Exchange「ProxyLogon」漏洞是由越南郵件電信集團信息安全中心(VNPT-ISC)研究人員Le Xuan Tuyen 發現的,并通報給趨勢科技的零時差計劃(Zero Day Initiative,ZDI)。
Microsoft Exchange 使用兩個網站: 一,前端,是用戶為了訪問電子郵件而連接的地方。 第二個是處理身份驗證功能的后端站點。
根據趨勢科技ZDI 計劃官網在周一針對該漏洞所發布的貼文指出,前端網站基本上只作為后端的代理之用,其主要角色在于將所有身份認證后的請求重新打包,并將他們代理到后端網站上的相應端點。接著系統會收集來自后端的回應,然后再將這些回應轉發給用戶端。
該問題全出現在稱為“委托身份驗證”的功能中,其中前端將身份驗證請求直接傳遞給后端。 這些請求包含用于識別它們的 SecurityToken cookie;換言之,就是如果前端發現一個名為Security Token 的非空cookie 時,就會將身份認證委托給后端進行。在默認配置的情況下,并不會加載專門負責委托認證的模塊(DelegatedAuthModule),必須對Exchange 進行專門的配置,才能讓后端執行這個身份驗證檢查操作。
所以,凡是沒有進行專門的配置,后端就完全不會知道它必須基于Security Token cookie 來對傳入的請求進行身份認證。如此一來,結果會是,這些請求可以在不需要在前端或后端進行身份認證的情況下順利通過。
針對這個漏洞,微軟已在7 月的Exchange 累積更新中進行修補,還未更新的企業組織應盡快進行更新,以避免不必要的安全風險。
來源: 風哥聊科技

Your email address will not be published.

  • 友情鏈接

  • 秋葵视频app在线下载-秋葵视频app下载污-秋葵视频app污下载