קוד ניצול פומבי לפגיעות עקיפת אימות ב-Microsoft Exchange Server

קוד ניצול (PoC) לפגיעות עקיפת אימות ב-Microsoft Exchange Server התפרסם באינטרנט, וכ-22 אלף שרתים ברחבי העולם עדיין לא עודכנו נגדה. הפגיעות מאפשרת לתוקף עם הרשאות בסיסיות בלבד להשתלט על תיבות דואר של משתמשים אחרים בארגון, כולל קריאת הודעות והורדת קבצים מצורפים.

מה קרה

הפגיעות נובעת מנקודת קצה בשם MRSProxy ב-Exchange Server, המשמשת להעברת תיבות דואר בין שרתים, שאינה אוכפת הגנת Extended Protection for Authentication. בהיעדר ההגנה הזו, תוקף שמצליח ללכוד תעבורת אימות של חשבון השירות של Exchange יכול לשדר אותה מחדש (capture-replay) כדי להתחזות למשתמשים לגיטימיים ולהעלות הרשאות. מיקרוסופט תיקנה את הפגיעות בעדכון של אוגוסט, אך כחודש אחרי הפרסום נמצא ברשת קוד ניצול פומבי המדגים כיצד לבצע את ההתקפה בפועל.

לפי סריקות רשת יומיות של קרן Shadowserver, כ-21,899 שרתי Exchange חשופים לאינטרנט עדיין לא עודכנו — רובם בארצות הברית (כ-6,200) ובגרמניה (כ-5,100, כ-85% משרתי ה-Exchange המקומיים במדינה). מדובר בפגיעות שדורשת תנאים מסוימים לניצול (תפיסת תעבורת אימות), אך מאחר שיש לה כבר קוד ניצול פומבי, הסיכון לניצול בפועל עולה משמעותית.

נקודות לשים לב

• אם אתה מפעיל Exchange Server מקומי — ודא שהותקן עדכון אוגוסט 2026 (CU23 ל-2016, CU14/CU15 ל-2019, או עדכון מקביל ל-Subscription Edition).
• אם אי אפשר לעדכן מיידית — הגבל את הגישה לשרת ה-Exchange לרשת הפנימית בלבד ואל תשאיר אותו חשוף ישירות לאינטרנט.
• בדוק ביומני הרישום (logs) ניסיונות אימות חוזרים או חריגים מול נקודת הקצה MRSProxy — סימן אפשרי לניסיון ניצול.
• מאחר שקוד הניצול כבר פומבי, אל תסתמך על כך שהפגיעות "מורכבת מדי לניצול" — התייחס אליה כאל בעדיפות תיקון גבוהה.
• עדכון בזמן חשוב גם כדי להימנע ממצב שבו שרת יישאר חשוף לגרסה מנוצלת עם קוד ציבורי חודשים אחרי התיקון, כפי שקרה כאן.

מקורות: BleepingComputer · Microsoft Security Response Center