Microsoft Exchange中的Autodiscover漏洞泄露大量凭证

根据新的Guardicore研究，Microsoft Exchange中使用的协议Autodiscover存在漏洞，该漏洞导致各种Windows和Microsoft登录凭证遭泄漏。

Exchange使用Autodiscover来自动配置客户端应用程序，例如Microsoft Outlook。企业安全供应商Guardicore的安全研究区域副总裁Amit Serper在该公司专门针对该漏洞的帖子中写道，Autodiscover存在一个设计缺陷，导致该协议将Web请求‘泄漏’到用户域外的Autodiscover域，但仍在同一顶级域 (TLD) 中，例如 Autodiscover.com。

Guardicore研究人员随后测试了该漏洞。

[[426273]]

Serper在该博客文章中写道：“Guardicore Labs购得多个带有 TLD 后缀的 Autodiscover 域，并将它们设置为定向到我们控制的Web服务器。此后不久，我们检测到大量泄漏的Windows域凭证到达我们服务器。”

该供应商购买的域名示例包括 Autodiscover.com.br、Autodiscover.com.cn和 Autodiscover.com.co;该帖子包含有关域名如何被滥用的大量技术细节。

Serper写道，从4月16日到8月25日，Guardicore利用该漏洞捕获 372,072 个 Windows 域凭据和 96,671 个从各种应用程序泄漏的独特凭据，例如 Microsoft Outlook、移动电子邮件客户端和其他与 Microsoft Exchange 服务器连接的应用程序。

Autodiscover漏洞并不是一个新问题。Serper表示，Shape Security于 2017 年首次披露了该核心漏洞，并于当年在 Black Hat Asia 上展示了调查结果。当时，CVE-2016-9940 和 CVE-2017-2414 漏洞被发现仅影响移动设备上的电子邮件客户端。Serper写道：“Shape Security 披露的漏洞已得到修补，但是，在2021年我们面临更大的威胁，更多第三方应用程序面临相同的问题。”

该文章提出了两种缓解措施：一种针对公众，一种针对软件开发人员和供应商。

对于使用Exchange的普通公众，Guardicore 建议用户在其防火墙中阻止Autodiscover域。 Serper 还表示，在配置 Exchange 设置时，用户应该“确保禁用对基本身份验证的支持”。Serper 继续说道，“使用 HTTP 基本身份验证相当于通过网络以明文形式发送密码。”

与此同时，开发人员应该确保他们不会让Autodiscover协议蔓延。

Serper称：“请确保在你的产品中部署Autodiscover协议时，即Autodiscover等域永远不应该由‘退避’算法构建。”

漏洞披露纠纷

微软批评 Guardicore 在发布其研究之前没有遵循漏洞披露流程。这家科技巨头与 SearchSecurity分享了以下声明，来自微软高级总监Jeff Jones。

Jones 写到：“我们正在积极调查，并将采取适当措施保护客户。我们致力于协调漏洞披露，这是一种行业标准的协作方法，可在问题公开之前为客户降低不必要的风险。不幸的是，在研究人员营销团队向媒体展示此问题之前并未向我们报告此问题。”

Serper 在周三晚上的一条推文中回应了这一声明，该声明已发送给其他媒体。

他表示：“我的报告清楚地引用了2017 年提出这个问题的研究：请参阅 2017 年的这篇论文，正如 Black Hat Asia 2017 中提出的那样。这不是0day，这已经过了1460天，至少。微软不可能不知道这个漏洞。”