{"id":6218,"date":"2022-10-18T16:20:05","date_gmt":"2022-10-18T21:20:05","guid":{"rendered":"https:\/\/etek.com\/es\/?p=6218"},"modified":"2022-10-18T16:20:05","modified_gmt":"2022-10-18T21:20:05","slug":"nuevas-vulnerabilidades-criticas-de-microsoft-exchange","status":"publish","type":"post","link":"https:\/\/etek.com\/es\/nuevas-vulnerabilidades-criticas-de-microsoft-exchange\/","title":{"rendered":"Nuevas Vulnerabilidades Criticas de Microsoft Exchange"},"content":{"rendered":"\n<p><strong>Pablo Florez<\/strong> <strong>Cyber Security Sr Engineer<\/strong><\/p>\n<h6><strong>Investigadores de la empresa vietnamita de ciberseguridad GTSC publicaron una advertencia en la que dec\u00edan que, &#8220;mientras proporcionaba un servicio SOC a un cliente, GTSC Blueteam detect\u00f3 solicitudes de exploits en los registros de IIS con el mismo formato que la vulnerabilidad ProxyShell&#8221;.<\/strong><\/h6>\n\t\t\t\t\t\t\t\t\t\t<img loading=\"lazy\" decoding=\"async\" width=\"657\" height=\"579\" src=\"https:\/\/etek.com\/es\/wp-content\/uploads\/2022\/10\/Captura-SOC.png\" alt=\"\" loading=\"lazy\" \/>\n\t\t<h6>Informaci\u00f3n de la Vulnerabilidad<\/h6>\n<p>El 29 de septiembre, los investigadores de seguridad de Microsoft anunciaron dos nuevas vulnerabilidades de d\u00eda cero, que afectan a Microsoft Exchange Server. Las vulnerabilidades permiten la ejecuci\u00f3n remota de c\u00f3digo (RCE) cuando se utilizan en conjunto. Es importante se\u00f1alar que ambas requieren un acceso autenticado al servidor deseado antes de su explotaci\u00f3n.<\/p><p>Estas dos vulnerabilidades de d\u00eda cero reportadas que afectan a Microsoft Exchange Server 2013, Exchange Server 2016 y Exchange Server 2019. La primera, identificada como <a href=\"https:\/\/msrc.microsoft.com\/update-guide\/vulnerability\/CVE-2022-41040\">CVE-2022-41040<\/a>, es una vulnerabilidad de falsificaci\u00f3n de solicitud del lado del servidor (SSRF), y la segunda, identificada como <a href=\"https:\/\/msrc.microsoft.com\/update-guide\/vulnerability\/CVE-2022-41082\">CVE-2022-41082<\/a>, permite la ejecuci\u00f3n remota de c\u00f3digo (RCE) cuando PowerShell es accesible para el atacante.<\/p>\n<p>Si las organizaciones que cuentan con estos servidores desean implementar una mitigaci\u00f3n manual basada en el aviso de Microsoft, se puede encontrar <a href=\"https:\/\/msrc-blog.microsoft.com\/2022\/09\/29\/customer-guidance-for-reported-zero-day-vulnerabilities-in-microsoft-exchange-server\/\">aqu\u00ed<\/a>. Microsoft se\u00f1al\u00f3 que los CVEs s\u00f3lo afectan a los servidores de Exchange locales, por lo que los clientes de Exchange Online no necesitan actualmente tomar ninguna medida.<\/p>\n<p>El proceso de explotaci\u00f3n se compone de dos partes principales:<\/p>\n<ul>\n<li>Solicitudes HTTP\u00a0\u00a0\u00a0\u00a0\u00a0 con\u00a0\u00a0\u00a0\u00a0 un\u00a0\u00a0\u00a0\u00a0 formato\u00a0\u00a0\u00a0\u00a0 muy\u00a0\u00a0\u00a0\u00a0 similar\u00a0\u00a0\u00a0\u00a0 a\u00a0\u00a0\u00a0\u00a0 la\u00a0\u00a0\u00a0\u00a0\u00a0 vulnerabilidad ProxyShell: autodiscover\/autodiscover.json?@evil.com\/ <a href=\"mailto:%26Email%3Dautodiscover\/autodiscover.json%3f@evil.com\">&amp;Email=autodiscover\/autodiscover.json%3f@evil.com.<\/a><\/li>\n<li>El uso de la solicitud anterior para acceder a un componente en el backend donde se podr\u00eda implementar el ataque RCE (Remote Code Execution).<\/li>\n<\/ul>\n<h6>Indicadores de Compromiso (IoC)<\/h6>\n<p><strong>Nombre de archivo: <\/strong>pxh4HG1v.ashx, <strong>Ruta<\/strong>: C:Archivos de programaMicrosoftExchange ServerV15FrontEndHttpProxyowaauthpxh4HG1v.ashx<\/p>\n<p><strong>Hash <\/strong>(SHA256): c838e77afe750d713e67ffeb4ec1b82ee9066cbe21f11181fd34429f70831ec1<\/p>\n<p><strong>Nombre de archivo<\/strong>: RedirSuiteServiceProxy.aspx, <strong>Ruta<\/strong>: C:Archivos de programaMicrosoftExchange ServerV15FrontEndHttpProxyowaauthRedirSuiteServiceProxy.aspx<\/p>\n<p><strong>Hash <\/strong>(SHA256): 65a002fe655dc1751add167cf00adf284c080ab2e97cd386881518d3a31d27f5<\/p>\n<p><strong>Nombre de archivo<\/strong>: Xml.ashx, <strong>Ruta<\/strong>: Xml.ashx<\/p>\n<p><strong>Hash <\/strong>(SHA256): c838e77afe750d713e67ffeb4ec1b82ee9066cbe21f11181fd34429f70831ec1<\/p>\n<p><strong>Nombre\u00a0\u00a0\u00a0 de\u00a0\u00a0\u00a0 archivo\u00a0\u00a0\u00a0 <\/strong>:\u00a0\u00a0\u00a0 errorEE.aspx,\u00a0\u00a0\u00a0 <strong>Ruta<\/strong>:\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 C:Archivos\u00a0\u00a0\u00a0 de programaMicrosoftExchange ServerV15FrontEndHttpProxyowaautherrorEE.aspx<\/p>\n<p><strong>SHA256<\/strong>: be07bd9310d7a487ca2f49bcdaafb9513c0c8f99921fdf79a05eaba25b52d257<\/p>\n<p><strong>Nombre del archivo<\/strong>: dll.dll<\/p>\n<p><strong>Nombre del archivo<\/strong>: 180000000.dll<\/p>\n<p>Para m\u00e1s informaci\u00f3n puede consultar las fuentes:<\/p>\n<ul>\n<li><a href=\"https:\/\/www.tenable.com\/blog\/cve-2022-41040-and-cve-2022-41082-proxyshell-variant-exploited-in-the-wild\">https:\/\/www.tenable.com\/blog\/cve-2022-41040-and-cve-2022-41082-proxyshell-variant-exploited-in-the-wild<\/a><\/li>\n<li><a href=\"https:\/\/www.imperva.com\/blog\/microsoft-exchange-server-vulnerabilities-cve-2022-41040-and-cve-2022-41082\/\">https:\/\/www.imperva.com\/blog\/microsoft-exchange-server-vulnerabilities-cve-2022-41040-and-cve-2022-41082\/<\/a><\/li>\n<li><a href=\"https:\/\/www.cronup.com\/alerta-de-seguridad-nueva-vulnerabilidad-critica-para-microsoft-exchange-en-explotacion-activa-0-day-rce\/\">https:\/\/www.cronup.com\/alerta-de-seguridad-nueva-vulnerabilidad-critica-para-microsoft-exchange-en-explotacion- activa-0-day-rce\/<\/a><\/li>\n<li><a href=\"https:\/\/socprime.com\/blog\/cve-2022-41040-and-cve-2022-41082-detection-novel-microsoft-exchange-zero-day-vulnerabilities-actively-exploited-in-the-wild\/\">https:\/\/socprime.com\/blog\/cve-2022-41040-and-cve-2022-41082-detection-novel-microsoft-exchange-zero-day- vulnerabilities-actively-exploited-in-the-wild\/<\/a><\/li>\n<\/ul>\n\t\t\t\t\t\t\t\t\t\t<img loading=\"lazy\" decoding=\"async\" width=\"260\" height=\"130\" src=\"https:\/\/etek.com\/es\/wp-content\/uploads\/2022\/05\/Imagen2.png\" alt=\"\" loading=\"lazy\" \/>\n\t\t<p><a href=\"mailto:Info@etek.com\">Info@etek.com<\/a><\/p>\n<p><strong>Colombia\u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 Per\u00fa\u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0<\/strong>India<strong style=\"letter-spacing: 0px;\">\u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0\u00a0<\/strong><\/p>\n<p>+57 (1) 2571520\u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0+51\u00a0(1) 6124343\u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0\u00a0+91-9873451221<\/p>\n<p>\u00a0<\/p>\n<p>\u00a0<\/p>\n<p>\u00a0<\/p>","protected":false},"excerpt":{"rendered":"<p>Pablo Florez Cyber Security Sr Engineer Investigadores de la empresa vietnamita de ciberseguridad GTSC publicaron una advertencia en la que dec\u00edan que, &#8220;mientras proporcionaba un servicio SOC a un cliente, GTSC Blueteam detect\u00f3 solicitudes de exploits en los registros de IIS con el mismo formato que la vulnerabilidad ProxyShell&#8221;. Informaci\u00f3n de la Vulnerabilidad El 29 [&hellip;]<\/p>\n","protected":false},"author":2,"featured_media":6219,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1],"tags":[],"_links":{"self":[{"href":"https:\/\/etek.com\/es\/wp-json\/wp\/v2\/posts\/6218"}],"collection":[{"href":"https:\/\/etek.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/etek.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/etek.com\/es\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/etek.com\/es\/wp-json\/wp\/v2\/comments?post=6218"}],"version-history":[{"count":0,"href":"https:\/\/etek.com\/es\/wp-json\/wp\/v2\/posts\/6218\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/etek.com\/es\/wp-json\/"}],"wp:attachment":[{"href":"https:\/\/etek.com\/es\/wp-json\/wp\/v2\/media?parent=6218"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/etek.com\/es\/wp-json\/wp\/v2\/categories?post=6218"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/etek.com\/es\/wp-json\/wp\/v2\/tags?post=6218"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}