Bienvenido al blog de Undercode   Click to listen highlighted text! Bienvenido al blog de Undercode
Inicio Noticias Error de Microsoft Exchange expone 100,000 credenciales de dominio

Error de Microsoft Exchange expone 100,000 credenciales de dominio

por Dragora

Una falla de diseño sin parchear en la implementación del protocolo de detección automática de Microsoft Exchange ha resultado en la filtración de aproximadamente 100,000 nombres de inicio de sesión y contraseñas para dominios de Windows en todo el mundo.

«Este es un problema de seguridad grave, ya que si un atacante puede controlar dichos dominios o tiene la capacidad de ‘olfatear’ el tráfico en la misma red, puede capturar las credenciales del dominio en texto sin formato (autenticación básica HTTP) que se transfieren a través del cable. » Guardicore de Amit Serper dijo en un informe técnico.

«Además, si el atacante tiene capacidades de envenenamiento de DNS a gran escala (como un atacante de estado-nación), podría desviar sistemáticamente contraseñas con fugas a través de una campaña de envenenamiento de DNS a gran escala basada en estos TLD de detección automática [dominios de nivel superior ]. «

El servicio de detección automática de Exchange permite a los usuarios configurar aplicaciones como Microsoft Outlook con una entrada mínima del usuario, lo que permite utilizar solo una combinación de direcciones de correo electrónico y contraseñas para recuperar otras configuraciones predefinidas necesarias para configurar sus clientes de correo electrónico.

La debilidad descubierta por Guardicore reside en una implementación específica de Detección automática basada en el protocolo XML POX (también conocido como «XML simple y antiguo») que hace que las solicitudes web a los dominios de Detección automática se filtren fuera del dominio del usuario pero en el mismo dominio de nivel superior .

En un ejemplo hipotético en el que la dirección de correo electrónico de un usuario es «[email protected]», el cliente de correo electrónico aprovecha el servicio Detección automática para construir una URL para obtener los datos de configuración utilizando cualquiera de las siguientes combinaciones del dominio de correo electrónico, un subdominio y un cadena de ruta, en su defecto instancia un algoritmo de «retroceso» –

  • https://Autodiscover.example.com/Autodiscover/Autodiscover.xml
  • https://Autodiscover.example.com/Autodiscover/Autodiscover.xml
  • https://example.com/Autodiscover/Autodiscover.xml
  • https://example.com/Autodiscover/Autodiscover.xml

«Este mecanismo de ‘retroceso’ es el culpable de esta filtración porque siempre intenta resolver la parte de detección automática del dominio y siempre intentará ‘fallar’, por así decirlo», explicó Serper. «Es decir, el resultado del próximo intento de crear una URL de detección automática sería: ‘https://Autodiscover.com/Autodiscover/Autodiscover.xml’. Esto significa que quien sea el propietario de Autodiscover.com recibirá todas las solicitudes que no puedan llegar al dominio original «.

Armado con este descubrimiento y al registrar varios dominios de nivel superior de detección automática (por ejemplo, Autodiscover.com [.] Br, Autodiscover.com [.] Cn, Autodiscover [.] In, etc.) como honeypots, Guardicore dijo que era capaz de acceder a solicitudes a puntos finales de detección automática de diferentes dominios, direcciones IP y clientes, obteniendo 96,671 credenciales únicas enviadas desde Outlook, clientes de correo electrónico móvil y otras aplicaciones que interactúan con el servidor Exchange de Microsoft durante un período de cuatro meses entre el 16 de abril de 2021 y 25 de agosto de 2021.

Los dominios de esas credenciales filtradas pertenecían a varias entidades de múltiples verticales que abarcan corporaciones que cotizan en bolsa en China, bancos de inversión, fabricantes de alimentos, plantas de energía y firmas inmobiliarias, señaló la compañía de ciberseguridad con sede en Boston.

Para empeorar las cosas, los investigadores desarrollaron un ataque de «viejo cambio» que implicaba enviar una solicitud al cliente para que cambiara a un esquema de autenticación más débil (es decir, autenticación HTTP básica ) en lugar de métodos seguros como OAuth o NTLM, lo que provocó el correo electrónico aplicación para enviar las credenciales del dominio en texto sin cifrar.

Para mitigar las fugas de detección automática, se recomienda que los usuarios de Exchange deshabiliten la compatibilidad con la autenticación básica y agreguen una lista de todos los dominios de Detección automática.TLD posibles a un archivo de hosts local o configuración de firewall para evitar una resolución de dominio de detección automática no deseada. También se recomienda a los proveedores de software que eviten implementar un procedimiento de «retroceso» que no logra construir dominios imprevistos como «Detección automática».

«A menudo, los atacantes intentarán hacer que los usuarios les envíen sus credenciales aplicando diversas técnicas, ya sean técnicas o mediante ingeniería social», dijo Serper. «Sin embargo, este incidente nos muestra que las contraseñas se pueden filtrar fuera del perímetro de la organización mediante un protocolo destinado a agilizar las operaciones del departamento de TI con respecto a la configuración del cliente de correo electrónico sin que nadie del departamento de TI o de seguridad lo sepa, lo que enfatiza la importancia de una segmentación adecuada y Zero Trust «.

Fuente: www.thehackernews.com

You may also like

Dejar Comentario

Click to listen highlighted text!