OWA, ממשק הדואר של Microsoft Exchange שנפתח בדפדפן, אינו בודק כראוי בקשות ווב מסוימות. לפי מיקרוסופט, תוקף יכול לנצל את זה כדי לשתול תוכן או סקריפט בתוך הדף שהמשתמש רואה, ומשם לגרום לו למסור מידע רגיש. הציון הוא 8.8 מתוך 10.
מה החולשה?
כשארגון מריץ Exchange משלו, העובדים נכנסים לתיבת הדואר שלהם דרך הדפדפן, בכתובת של הארגון. הממשק הזה נקרא Outlook Web Access, ובקצרה OWA, והוא מגיש את הדואר כעמוד ווב לכל דבר.
עמוד כזה מרכיב את מה שהוא מציג מתוך תשובות שמגיעות מהשרת, ולכן השרת צריך לבדוק כל בקשה שמגיעה אליו לפני שהוא עונה לה. לפי מיקרוסופט, הבדיקה הזאת הייתה חסרה. התוצאה היא שתוקף יכול לגרום לתוכן שהוא כתב להיכנס אל תוך הדף שהמשתמש פתח, ובכלל זה סקריפט שירוץ בדפדפן שלו בתוך ההקשר של אתר הדואר. לדפוס הזה קוראים הזרקת תוכן.
הדרך אל המשתמש מתוארת ברשומה במפורש: התוקף שולח הודעת דואר שמכילה קישור, או משיג את אותה לחיצה דרך שיחה בצ'אט. ברגע שהקישור נפתח, מה שרץ בדפדפן רץ בתוך עמוד הדואר של הקורבן, והמקום הזה הוא שבו יושבות ההודעות, אנשי הקשר והקבצים המצורפים.
שווה לציין סתירה קטנה בתוך הרשומה עצמה. הווקטור מסמן UI:N, כלומר שאין צורך בפעולה של משתמש, ואילו ההערה של מיקרוסופט באותה רשומה אומרת במפורש שכדי לנצל את החולשה המשתמש חייב ללחוץ על קישור. ההערה היא החלק הספציפי מהשניים, והיא גם הזהירה יותר. הווקטור מוסיף סימון אחד שכן שווה תשומת לב: PR:L, כלומר לתוקף דרושות הרשאות כלשהן במערכת.
מי מושפע?
הרשומה מצביעה על OWA של Microsoft Exchange ואינה מונה גרסאות או מספרי בנייה. המקום שבו הם מופיעים הוא דף החולשה של מיקרוסופט, והוא גם המקום להשוות אליו את מה שרץ אצלכם.
מעשית מדובר בארגונים שמפעילים Exchange בעצמם ומעמידים את ממשק הדואר שלו לעובדים. בישראל זאת תצורה נפוצה מאוד, גם מפני ש-Exchange מותקן בשפע בחברות ובגופים ציבוריים וגם מפני שממשק הדואר בדפדפן נגיש בדרך כלל מהאינטרנט, כדי שאפשר יהיה לקרוא דואר מהבית ומהטלפון. אותה נגישות היא גם מה שהופך קישור במייל לכלי עבודה.
האם מנוצלת בפועל?
נכון לעדכון האחרון של הדף הזה, החולשה אינה מופיעה בקטלוג ה-KEV של CISA, סוכנות הסייבר האמריקאית, הקטלוג שמרכז חולשות שידוע שתוקפים משתמשים בהן בשטח. אין בכך אמירה שלא נעשה בה שימוש, אלא רק שאין ידיעה כזאת.
מה עושים?
התקינו את עדכון האבטחה של Exchange. לפי הרשומה, התיקון פועל בכך שהוא מתקן את האופן שבו Exchange מאמת בקשות ווב, ולכן עדכון השרת הוא מה שסוגר את זה. הגרסאות ומועדי השחרור נמצאים בדף החולשה של מיקרוסופט שמקושר למעלה.
עד שהעדכון מותקן, ההודעה לעובדים היא קונקרטית ולא כללית: קישור שהגיע בדואר או בצ'אט ומבקש להיכנס שוב לתיבת הדואר הוא בדיוק התרחיש שהרשומה מתארת. מי שהגיע לעמוד כזה דרך קישור ולא דרך הכתובת שהוא מקליד בעצמו, שווה שיעצור.
ומכיוון שהווקטור דורש הרשאות כלשהן, שווה גם לעבור על מי מחזיק חשבונות בשרת הדואר, ובמיוחד על חשבונות שירות וחשבונות של עובדים שעזבו.