ProxyNotShell: ثغرتان جديدتان في Exchange بلا تحديث بعد
خوادم Exchange المحلية تحت الهجوم مرة أخرى. طبّق إجراء التخفيف، وخطّط للانتقال من البريد المحلي.
الأسبوع الماضي أكدت Microsoft ثغرتين غير معروفتين في Exchange Server (CVE-2022-41040 وCVE-2022-41082)، تُستخدمان بالفعل في هجمات. معًا قد تسمحان للمهاجم بتشغيل كود على الخادم. وتحتاجان أولًا دخولًا عاديًا إلى صندوق بريد، وهو ما يحصل عليه المهاجمون غالبًا عبر التصيّد.
لا يوجد تحديث بعد. نشرت Microsoft إجراء تخفيف، قاعدة لإعادة كتابة الروابط، واضطرت لتحديثه مرة لأن باحثين وجدوا طرقًا حول النسخة الأولى.
إن كنت تشغّل Exchange على خوادمك:
- طبّق أحدث إجراء تخفيف (أو دع خدمة Exchange Emergency Mitigation تفعل ذلك) وتحقّق مرة أخرى بعد أيام.
- امنع PowerShell عن بعد للمستخدمين العاديين. نادرًا ما يحتاجونه.
- ابحث عن web shells وعمليات غريبة بدأها IIS.
- ثبّت التحديث يوم صدوره.
والسؤال الأكبر: بعد ProxyLogon وProxyShell وهذه، اسأل إن كان تشغيل Exchange بنفسك ما زال يستحق. لمعظم الشركات الصغيرة والمتوسطة، البريد المُستضاف صار الخيار الأكثر أمانًا.