Le temps commence à être long depuis le 30 septembre 2022, date à laquelle Microsoft a admis avoir identifié deux nouvelles vulnérabilités zero-day sur son service de messagerie professionnelle Microsoft Exchange.
En effet, cinq jours plus tard, aucun patch n'est officiellement disponible.
Deux vulnérabilités zero-day identifiées par Microsoft
Microsoft a confirmé que deux vulnérabilités sont non seulement identifiées, mais aussi activement exploitées depuis le début du mois d'août 2022 sur Microsoft Exchange. Plus précisément, l'entreprise fondée par Bill Gates a reconnu qu'un « nombre limité d'attaques a permis aux attaquants de pénétrer les systèmes des utilisateurs » d'Exchange.
Les versions 2013, 2016 et 2019 sont concernées. Depuis, la firme de Redmond a annoncé travailler activement sur des patchs, mais ceux-ci se font toujours attendre, alors que plus de 220 000 serveurs d'Exchange sont toujours sous la menace de pirates. L'alerte a été donnée par la société de cybersécurité vietnamienne GTSC, qui a notamment découvert que plusieurs sites web de clients d'Exchange étaient infectés par du code encoquillé.
De fait, la première vulnérabilité identifiée, baptisée CVE-2022-41040, contrefait les requêtes côté serveur. La deuxième, nommée CVE-2022-41082, permet l'exécution à distance du code encoquillé introduit par l'exploitation de la première vulnérabilité par un pirate qui a accès à PowerShell. Selon les chercheurs en sécurité de Microsoft, l'attaquant doit avoir à sa disposition un identifiant d'utilisateur valide à un serveur Exchange pour réussir son attaque.
Les années passent, et rien ne change, ou presque, pour Microsoft Exchange
Les chercheurs de GTSC regardent vers leurs voisins chinois en ce qui concerne l'origine de ces attaques, car le code encoquillé contient des caractères en chinois simplifié. Plus encore, il s'apparente à un code encoquillé connu sous le nom de « China Chopper » et identifié comme ayant été employé à plusieurs reprises par des groupes de hackers soutenus par l'État chinois.
En attendant le patch, la bonne nouvelle est que l'interface d'analyse antivirus de Microsoft Defender permet de détecter l'exploitation potentielle de l'une de ces failles sur Exchange. Il convient cependant de vérifier que l'analyse des répertoires Exchange ne figure pas sur la liste des exclusions lors des analyses antivirus, ce qui est parfois le cas pour des questions de performance.
Pour les clients d'Exchange sur site, Microsoft propose des instructions de réécriture d'URL ou de bloquer les exécutions de commande à distance pour PowerShell. Par ailleurs, ces actions ne sont pas nécessaires pour celles et ceux qui utilisent Exchange en ligne. Ces vulnérabilités et leur exploitation s'ajoutent à la (très) longue liste de failles et d'attaques menées à l'encontre de Microsoft Exchange.
Sources : ArsTechnica, ZDNet
