CVE-2021-34473 – Powershell | Persistência e Controle no Exchange

Análise Técnica

O ProxyShell é outra cadeia de três vulnerabilidades (CVE-2021-34473, CVE-2021-34523, CVE-2021-31207) que permite RCE não autenticado. A diferença chave está no abuso do serviço Autodiscover. A falha CVE-2021-34473 envolve uma “confusão de caminho” (Path Confusion) na URL. O atacante acessa /autodiscover/autodiscover.json?@foo.com/mapi/nspi/. O frontend do Exchange processa a primeira parte da URL e decide que não precisa de autenticação, mas encaminha a requisição para o backend baseando-se na segunda parte (/mapi/…). Isso expõe o backend do PowerShell Remoting. O atacante então usa a CVE-2021-34523 para elevar privilégios e a CVE-2021-31207 para exportar caixas de correio contendo código malicioso (webshells) para o diretório web.

Mapeamento e Exploração com Metasploit

• • Módulo: exploit/windows/http/exchange_proxyshell_rce

• • Capacidade: Exploração confiável e estável, resultando em acesso SYSTEM.

Cenário de Exploração Detalhado:

 

1. 1. Ataque:
      O módulo do Metasploit automatiza a construção da URL ofuscada para atingir o PowerShell backend.
      Bash
      msf6 > use exploit/windows/http/exchange_proxyshell_rce
      msf6 exploit(exchange_proxyshell_rce) > set RHOSTS 192.168.1.15
      msf6 exploit(exchange_proxyshell_rce) > run

1. 1. Mecanismo:
      O exploit codifica um script malicioso (payload) dentro de um email ou rascunho. Em seguida, usa o comando New-MailboxExportRequest (via PowerShell Remoting acessado ilegalmente) para exportar esse email para um arquivo com extensão .aspx dentro de C:\inetpub\wwwroot\aspnet_client\.

1. 1. Resultado:
      O servidor IIS compila e executa o arquivo ASPX, disparando a conexão reversa do Meterpreter.

Remediação e Defesa em Profundidade

1. 1. Atualização de Software: Aplicar as atualizações de segurança de Abril/Maio de 2021.

1. 1. Verificação de Web Shells: Procurar proativamente por arquivos .aspx suspeitos em diretórios de exportação ou diretórios web padrão (\aspnet_client\) criados recentemente.

Restrição de PowerShell:

Bloquear o acesso ao endpoint /powershell no IIS para IPs externos.