美國主管資安事務的網路安全暨基礎設施安全局（Cybersecurity & Infrastructure Security Agency, CISA），日前針對 Microsoft Exchange 近期修補完成的四個嚴重 0-day 漏洞發布緊急修補命令。
CISA 發布編號為 Emergency Directive 21-02 的緊急命令，要求聯邦政府所屬單位，立即針對在其組織内運作的 Microsoft Exchange 系統進行資安修補。先前 CISA 也曾針對這四個漏洞發布資安通報，表示這些 0-day 漏洞已遭駭侵者大規模濫用。
在 CISA 發布的通報中指出，一共有四個 0-day 漏洞已獲得 Microsoft 修補完成並發表修補程式，分別是：
- CVE-2021-26855：存於 Exchange Control Panel，駭侵者可透過特製的伺服器端連線要求，取得電子郵件與機密檔案的内容。
- CVE-2021-26857、CVE-2021-26858、CVE-2021-27065：這三個 0-day 漏洞皆可讓駭侵者遠端執行任意程式碼。
這些漏洞是由第三方資安廠商 Volexity 發現的。Volexity 除了詳細提出駭侵者可能採用的攻擊手法外，也觀察到駭侵者已透過某些 IP 發動攻擊。
CISA 的命令要求美國聯邦政府各單位，如有能力，應針對單位内部使用的 Exchange Server 進行徹底檢查，並依命令中的指示安裝更新軟體；如果單位沒有能力自行檢查並更新系統，應立即將所有 Microsoft Exchange Server 自外部網路離線，並依指示向 CISA 提出報告。
- CVE編號：CVE-2021-26855、CVE-2021-26857、CVE-2021-26858、CVE-2021-27065
- 影響產品/版本：Microsoft Exchange Server 2010, 2013, 2016, 2019
相關新聞:
微軟Microsoft Exchange Server存在安全漏洞，速更新!
解決方案：
- 依 CISA Emergercy Directive 21-02 指示徹底檢查系統。
- 安裝微軟提供的各版本 Exchange Server 更新軟體。
本文轉載自TWCER/CC。