ProxyShell

Définition

ProxyShell est une chaîne de 3 vulnérabilités Microsoft Exchange (CVE-2021-34473, CVE-2021-34523, CVE-2021-31207) permettant l'exécution de code à distance non authentifiée sur les serveurs Exchange exposés sur Internet. Présentée à la conférence Black Hat 2021 par Orange Tsai, elle a été massivement exploitée par des groupes de ransomware et des APT dans les mois suivants. Les trois vulnérabilités en chaîne : CVE-2021-34473 (Pre-auth Path Confusion) — permet de bypasser l'authentification en confondant le chemin de l'URL avec le proxy Exchange autodiscover, CVE-2021-34523 (Privilege Elevation) — permet d'élever les privilèges vers le compte SYSTEM via le backend Exchange PowerShell, CVE-2021-31207 (Post-auth RCE) — permet d'écrire une webshell via les commandes Exchange PowerShell (New-MailboxExportRequest pour exporter une boîte mail contenant le webshell vers un path web accessible). L'exploit complet ne nécessite aucune authentification : le bypass d'auth de la première CVE permet d'accéder au backend PowerShell Exchange, où une commande crée une règle d'export de boîte mail vers un fichier .aspx dans le répertoire web d'Exchange, et la webshell est accessible depuis Internet. Des groupes APT (Conti, BlackByte, LockFile) ont exploité ProxyShell massivement dès la publication de l'exploit PoC, compromettant des milliers de serveurs Exchange exposés. Le scanning massif pour la vulnérabilité a commencé dans les heures suivant la présentation Black Hat. Microsoft a fourni des patchs cumulatifs en juillet-août 2021 (CU20/CU21 pour Exchange 2019) corrigeant les trois CVEs.