Microsoft Exchange 2013及更新版本容易受到名為“PrivExchange”的零日攻擊，該漏洞允許遠(yuǎn)程攻擊者只使用單個(gè)低級(jí)Exchange郵箱用戶的憑據(jù)，借助簡單的Python工具獲得域控制器管理員權(quán)限 。

荷蘭網(wǎng)絡(luò)安全公司Fox-IT的安全研究員Dirk-jan Mollema上周公布了關(guān)于這個(gè)零日的詳細(xì)信息。

根據(jù)研究人員的說法，零日不是一個(gè)單一的缺陷，而是三個(gè)(默認(rèn))設(shè)置和機(jī)制的組合，攻擊者可以濫用這些設(shè)置和機(jī)制將他的訪問權(quán)限從被黑客入侵的電子郵件帳戶升級(jí)到公司內(nèi)部域控制器的管理員(處理Windows域中的安全身份驗(yàn)證請(qǐng)求的服務(wù)器)。根據(jù)Mollema的說法，這三個(gè)問題是：

Microsoft Exchange服務(wù)器具有一項(xiàng)稱為Exchange Web服務(wù)(EWS)的功能，攻擊者可以濫用此功能使Exchange服務(wù)器通過Exchange服務(wù)器的計(jì)算機(jī)帳戶在攻擊者控制的網(wǎng)站上進(jìn)行身份驗(yàn)證。

此身份驗(yàn)證是使用通過HTTP發(fā)送的NTLM哈希完成的，并且Exchange服務(wù)器也無法為NTLM操作設(shè)置Sign和Seal標(biāo)志，使NTLM身份驗(yàn)證容易受到中繼攻擊，并允許攻擊者獲取Exchange服務(wù)器的NTLM哈希值( Windows計(jì)算機(jī)帳戶密碼)。

默認(rèn)情況下，Microsoft Exchange服務(wù)器可以安裝許多高權(quán)限操作，這意味著攻擊者可以使用Exchange服務(wù)器新泄密的計(jì)算機(jī)帳戶獲取公司域控制器的管理員訪問權(quán)限，從而使他們能夠隨意創(chuàng)建更多后門帳戶。

已確認(rèn)PrivExchange攻擊適用于使用完全修補(bǔ)版本運(yùn)行的Exchange和Windows Server DC(域控制器)。

Microsoft尚未針對(duì)PrivExchange漏洞發(fā)布任何緊急補(bǔ)丁。然而，Mollema 在他的博客中包含了一些緩解措施，系統(tǒng)管理員可以部署這些緩解措施，以防止攻擊者利用這個(gè)零日并控制其公司的服務(wù)器基礎(chǔ)架構(gòu)。