CVE-2020-0688 Exchange EWS RCE

Définition

CVE-2020-0688 est une vulnérabilité d'exécution de code distante critique affectant le Control Panel du Centre d'administration Exchange (ECP) de Microsoft Exchange Server, corrigée en février 2020, provoquée par l'utilisation d'une clé cryptographique de machine (machineKey) statique et identique sur toutes les installations Exchange, générée automatiquement lors de l'installation plutôt que d'être unique par serveur. Cette clé, normalement destinée à protéger l'intégrité des données de ViewState ASP.NET échangées entre le client et le serveur, étant connue et identique sur l'ensemble du parc mondial de serveurs Exchange n'ayant pas appliqué le correctif, un attaquant authentifié avec des identifiants de messagerie valides, même à faibles privilèges, peut forger une charge utile ViewState malveillante désérialisée côté serveur, aboutissant à une exécution de code arbitraire avec les privilèges du compte SYSTEM du serveur Exchange. Compte tenu de l'intégration profonde d'Exchange Server avec Active Directory, notamment via les privilèges étendus historiquement accordés au groupe Exchange Windows Permissions ou Exchange Trusted Subsystem sur les objets utilisateur du domaine, la compromission d'un serveur Exchange constitue fréquemment une porte d'entrée directe vers une compromission complète du domaine Active Directory. Cette vulnérabilité a fait l'objet d'exploitations massives en conditions réelles et reste régulièrement identifiée sur des serveurs Exchange non patchés lors des tests d'intrusion externes.