Allarme Sicurezza: 4 nuove Vulnerabilità Zero-Day (una RCE) minacciano Microsoft Exchange

Microsoft Exchange è attualmente sotto l’ombra minacciosa di quattro vulnerabilità zero-day che, nelle mani sbagliate, potrebbero scatenare il caos, consentendo agli aggressori di eseguire codice malevolo o mettere a rischio informazioni sensibili all’interno delle installazioni interessate.

Il segnale d’allarme è stato dato dalla Zero Day Initiative (ZDI) di Trend Micro, che ha identificato e prontamente segnalato tali vulnerabilità a Microsoft tra il 7 e l’8 settembre 2023.

Ciò che desta preoccupazione è la reazione iniziale di Microsoft. Sebbene l’azienda abbia riconosciuto la gravità delle segnalazioni, i suoi ingegneri della sicurezza hanno sorprendentemente ritardato qualsiasi intervento immediato, decidendo di posticipare le correzioni.

La decisione di ritardare l’azione non è stata condivisa da ZDI, che ha scelto di sollevare l’allarme in modo indipendente, fornendo a ciascuna vulnerabilità il proprio ID di tracciamento. Questa mossa mira a mettere gli amministratori di Exchange al corrente dei rischi per la sicurezza che gravano sulle loro installazioni.

Di seguito è riportato un riepilogo dei difetti:

• ZDI-23-1578 – Un difetto di esecuzione di codice in modalità remota (RCE) nella classe ‘ChainedSerializationBinder’, in cui i dati dell’utente non vengono adeguatamente convalidati, consentendo agli aggressori di deserializzare dati non attendibili. Uno sfruttamento riuscito consente a un utente malintenzionato di eseguire codice arbitrario come “SYSTEM”, il livello più alto di privilegi su Windows;
• ZDI-23-1579 – il bug è presente nel metodo ‘DownloadDataFromUri’, ed è dovuto alla convalida insufficiente di un URI prima dell’accesso alle risorse. Gli aggressori possono sfruttarlo per accedere a informazioni sensibili dai server Exchange;
• ZDI-23-1580 – Questa vulnerabilità, nel metodo ‘DownloadDataFromOfficeMarketPlace’, deriva anche da una convalida URI impropria, che potrebbe portare alla divulgazione non autorizzata di informazioni;
• ZDI-23-1581 – Presente nel metodo CreateAttachmentFromUri, questo difetto ricorda i bug precedenti con una convalida URI inadeguata, rischiando, ancora una volta, l’esposizione di dati sensibili.

Tutte queste vulnerabilità richiedono l’autenticazione per lo sfruttamento, il che riduce la loro gravità. Potrebbe essere questo il motivo per il quale Microsoft non ha dato priorità alla correzione dei bug.

È importante sottolineare che i criminali informatici hanno a disposizione una varietà di metodi per ottenere le credenziali di Exchange. Questi includono tentativi di forzatura di password deboli, l’esecuzione di sofisticati attacchi di phishing, l’acquisto di credenziali rubate e altro ancora.

Tuttavia, è fondamentale non sottovalutare la gravità delle vulnerabilità zero-day in questione, in particolare la ZDI-23-1578 (RCE) che potrebbe consentire una compromissione totale del sistema.

Inoltre, per incrementare la sicurezza, raccomandiamo vivamente l’implementazione dell’autenticazione a più fattori, che rappresenta una barriera efficace contro i criminali informatici, anche nel caso in cui le credenziali dell’account fossero compromesse.

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Pietro Melillo

Membro e Riferimento del gruppo di Red Hot Cyber Dark Lab, è un ingegnere Informatico specializzato in Cyber Security con una profonda passione per l’Hacking e la tecnologia, attualmente CISO di WURTH Italia, è stato responsabile dei servizi di Cyber Threat Intelligence & Dark Web analysis in IBM, svolge attività di ricerca e docenza su tematiche di Cyber Threat Intelligence presso l’Università del Sannio, come Ph.D, autore di paper scientifici e sviluppo di strumenti a supporto delle attività di cybersecurity. Dirige il Team di CTI "RHC DarkLab"

Aree di competenza: Cyber Threat Intelligence, Ransomware, Sicurezza nazionale, Formazione