CVE-2021-26855、CVE-2021-26857、CVE-2021-26858、CVE-2021-27065微软Exchange多个高危漏洞

Exchange 是微软公司的一套电子邮件服务组件,是个消息与协作系统。近日, 微软发布了Exchange 多个高危漏洞的风险通告,该漏洞编号为CVE-2021-26855,CVE-2021-26857,CVE-2021-26858,CVE-2021-27065。

CVE-2021-26855: 服务端请求伪造漏洞

Exchange服务器端请求伪造(SSRF)漏洞,利用此漏洞的攻击者能够发送任意HTTP请求并通过Exchange Server进行身份验证。

CVE-2021-26857: 反序列化漏洞

Exchange存在反序列化漏洞,该漏洞需要管理员权限,利用此漏洞的攻击者可以在Exchange服务器上以SYSTEM身份运行代码。

CVE-2021-26858/CVE-2021-27065: 任意文件写入漏洞

Exchange中身份验证后的任意文件写入漏洞。攻击者通过Exchange服务器进行身份验证后,可以利用此漏洞将文件写入服务器上的任何路径。该漏洞可以配合CVE-2021-26855 SSRF漏洞进行组合攻击。

 

CVE 编号

CVE-2021-26855CVE-2021-26857CVE-2021-26858CVE-2021-27065

影响范围

微软exchange2013

微软exchange2016

微软exchange2019

微软exchange2010

根据目前FOFA系统最新数据(一年内数据),显示全球范围内(app="Microsoft-Exchange")共有 1,563,491 个相关服务对外开放。美国使用数量最多,共有 353,403 个;德国第二,共有 231,069 个;英国第三,共有 85,074 个;中国香港第四,共有 76,719 个;荷兰第五,共有 59,420 个。

 

修复建议

微软已发布相关安全更新,用户可更新到安全版本。

CVE-2021-26855下载链接:

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-26855

CVE-2021-26857下载链接:

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-26855

CVE-2021-26858下载链接:

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-26855

CVE-2021-27065下载链接:

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-26855

发表评论

评论已关闭。

相关文章