Microsoft Exchange远程代码执行缝隙风险公告

颁布功夫 2020-02-26

缝隙编号和级别


CVE编号：CVE-2020-0688，危险级别：高危，CVSS分值：官方未评定


影响版本


Microsoft Exchange Server 2010 Service Pack 3 Update Rollup 30

Microsoft Exchange Server 2013 Cumulative Update 23

Microsoft Exchange Server 2016 Cumulative Update 14

Microsoft Exchange Server 2016 Cumulative Update 15

Microsoft Exchange Server 2019 Cumulative Update 3

Microsoft Exchange Server 2019 Cumulative Update 4


缝隙概述


2020年2月11日，Microsoft颁布了针对Microsoft Exchange Server中的远程代码执行缝隙（CVE-2020-0688）的补丁法式 。利用这个缝隙，攻击者可通过Exchange服务上的通常用户权限，收受整个Exchange服务器 。目前此缝隙的利用细节已经在互联网公开 。


缝隙产生在 Exchange Control Panel （ECP）组件中 。与每次软件装置城市产生随机密钥分歧，所有Microsoft Exchange Server在装置后的web.config文件中都占有一样的validationKey和decryptionKey 。这些密钥用于保障ViewState的安全性 。而ViewState是ASP.NET Web利用以序列化体式存储在客户机上的服务端数据 �？突Ф送ü齙_VIEWSTATE要求参数将这些数据返回给服务器 。由于使用了静态密钥，经过身份验证的攻击者能够糊弄指标服务器反序列化恶意创建的ViewState数据 。当攻击者能够登录Exchange邮箱账户时，在YSoSerial.net的援手下，能够在Exchange Control Panel web利用上执行肆意代码 。


缝隙验证


PoC：https://www.zerodayinitiative.com/blog/2020/2/24/cve-2020-0688-remote-code-execution-on-microsoft-exchange-server-through-fixed-cryptographic-keys 。


建复建议


目前，微软官方已颁布针对受影响版本的补丁法式，建议用户尽快装置：https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-0688 。


参考链接


https://www.zerodayinitiative.com/blog/2020/2/24/cve-2020-0688-remote-code-execution-on-microsoft-exchange-server-through-fixed-cryptographic-keys