Microsoft предупредува за zero-day пропуст во Exchange Server кој се злоупотребува во напади

Во четвртокот, Microsoft сподели мерки за ублажување на високоризична ранливост во Exchange Server, која се злоупотребува во напади што им овозможуваат на напаѓачи да извршуваат произволен код преку cross-site scripting (XSS), додека таргетираат корисници на Outlook on the web.

Microsoft ја опишува оваа безбедносна мана (CVE-2026-42897) како spoofing ранливост која ги засега ажурираните верзии на Exchange Server 2016, Exchange Server 2019 и Exchange Server Subscription Edition (SE) софтверот.

Иако сè уште нема достапни закрпи за трајно поправање на ранливоста, компанијата додаде дека Exchange Emergency Mitigation Service ќе обезбеди автоматско ублажување за on-premises серверите со Exchange Server 2016, 2019 и SE.

„Напаѓач може да ја искористи оваа слабост со испраќање специјално изработена е-порака до корисник. Ако корисникот ја отвори пораката во Outlook Web Access и се исполнат одредени услови на интеракција, во прелистувачот може да се изврши произволен JavaScript код,“ соопшти Exchange тимот.

„Користењето на EM Service е најдобриот начин за вашата организација веднаш да ја ублажи оваа ранливост. Ако моментално го имате исклучено EM Service, препорачуваме веднаш да го вклучите. Ве молиме имајте предвид дека EM Service нема да може да проверува нови ублажувања ако вашиот сервер работи со верзија на Exchange постара од март 2023.“

Exchange Emergency Mitigation Service беше воведен во септември 2021 година за да обезбеди автоматска заштита за on-premises Exchange сервери, штитејќи ги од тековни напади со примена на привремени мерки за високоризични (и веројатно активно злоупотребувани) ранливости.

EEMS работи како Windows сервис на Exchange Mailbox сервери и автоматски е овозможен на сервери со Mailbox улога. Оваа безбедносна функција беше додадена откако многу хакерски групи ги злоупотребуваа zero-day ранливостите ProxyLogon и ProxyShell (кои немаа закрпи или информации за ублажување) за да компромитираат Exchange сервери изложени на интернет.

Администратори со сервери во air-gapped средини исто така можат да ја ублажат ранливоста со преземање на најновата верзија на Exchange On-premises Mitigation Tool и примена на мерките преку извршување на скрипта преку elevated Exchange Management Shell (EMS) со една од следните команди:

• Single server: .\EOMT.ps1 -CVE "CVE-2026-42897"
• All servers: Get-ExchangeServer | Where-Object { $_.ServerRole -ne "Edge" } | .\EOMT.ps1 -CVE "CVE-2026-42897"

Сепак, важно е да се напомене дека примената на мерките за ублажување на ранливоста на засегнатите сервери може да предизвика проблеми, вклучувајќи:

• Функцијата за печатење на календар во Outlook on the web може да не работи. Како привремено решение, Microsoft предложи копирање на податоците, правење слика (screenshot) од календарот што сакате да го испечатите или користење на Outlook Desktop клиентот.
• Вградени слики (inline images) може неправилно да се прикажуваат во панелот за читање во OWA кај примателите. Како решение, корисниците се советуваат да ги испраќаат сликите како прикачени датотеки во е-пошта или да го користат Outlook Desktop клиентот.
• OWA light (OWA URL што завршува на /?layout=light) не функционира правилно (оваа функција е веќе укината пред неколку години и не е наменета за редовна продукциска употреба).

Microsoft планира да објави закрпи за Exchange SE RTM, Exchange 2016 CU23 и Exchange Server 2019 CU14 и CU15, но наведува дека ажурирањата за Exchange 2016 и 2019 ќе бидат достапни само за клиенти вклучени во ESU програмата (Extended Security Updates) од период 2.

BleepingComputer исто така контактираше со Microsoft со прашања за нападите, но одговор не беше веднаш достапен.

Во октомври, неколку недели откако Exchange 2016 и 2019 ја достигнаа крајната фаза на поддршка, Cybersecurity and Infrastructure Security Agency и National Security Agency објавија насоки за помош на ИТ администратори за зајакнување на Microsoft Exchange серверите против напади.

Извори:

• Bleeping Computer – Microsoft warns of Exchange zero-day flaw exploited in attacks Bleeping Computer