Microsoft a décidé de publier un correctif à destination d'Exchange, sa solution de messagerie, pour corriger en urgence quatre failles Zero-Day sans même attendre le prochain Patch Tuesday.

Les versions touchées directement par ces failles critiques sont Exchange 2013, Exchange 2016 et Exchange 2019. Bien qu'Exchange 2010 ne soit pas directement touché, il a le droit au correctif malgré tout. Ces quatre failles Zero-Day sont référencées avec les noms suivants :

• CVE-2021-26855
• CVE-2021-26857
• CVE-2021-26858
• CVE-2021-27065

Ce qui est dangereux, ce n'est pas les failles prises individuellement, ce sont ces failles utilisées ensemble. D'ailleurs, un groupe de hackers s'appuieraient sur ces failles pour compromettre des serveurs Exchange et voler des données notamment des e-mails. Microsoft en dit un peu plus sur ce groupe de hackers baptisé "Hafnium" et qui est directement lié à la Chine. Les cibles seraient surtout des entreprises américaines, dans différents secteurs, mais il ne faut pas se sentir épargné : il n'est pas impossible que d'autres groupes de hackers se mettent à exploiter ces vulnérabilités critiques.

En exploitant ces failles, les pirates peuvent prendre le contrôle du serveur Exchange ciblé en établissant une connexion sur un port classique puisqu'il correspond au HTTPS : le port 443. Les fonctions d'authentification pourront être contournées et l'attaquant pourra obtenir des privilèges élevés sur le serveur.

Pour rappel, une faille Zero-Day est une vulnérabilité qui n'est pas connue publiquement et qui n'est pas corrigée, mais qui est connue par un tiers, en l'occurrence des hackers, mais ignorée par l'éditeur, ici Microsoft.

Dès à présent, et c'est recommandé de ne pas attendre, vous pouvez récupérer le correctif à installer sur votre serveur Exchange sur le site de Microsoft : Correctif Exchange - Mars 2021

Enfin, Microsoft a publié sur son site un bout de code qui permet de vérifier si votre serveur Exchange est compromis par le groupe de pirates Hafnium, en analysant les journaux.

Source

The post Microsoft Exchange : 4 failles Zero-Day à patcher d’urgence ! first appeared on IT-Connect.