微软Exchange曝多个高危漏洞，无需验证交互即可触发-低调大师

微软Exchange曝多个高危漏洞，无需验证交互即可触发

2021-03-03 675

3月2日，微软发布了Microsoft Exchange Server的安全更新公告，其中包含多个Exchange Server严重安全漏洞，危害等级为“高危”，漏洞编号分别为CVE-2021-26855、CVE-2021-26857、CVE-2021-26858、CVE-2021-27065。

Exchange Server是微软公司的一套电子邮件服务组件，是个消息与协作系统，主要提供包括从电子邮件、会议安排、团体日程管理、任务管理、文档管理、实时会议和工作流等协作应用。

漏洞详情

(1) CVE-2021-26855

该漏洞是Exchange中的服务端请求伪造漏洞(SSRF)，利用此漏洞的攻击者能够发送任意HTTP请求并绕过Exchange Server身份验证，远程未授权的攻击者可以利用该漏洞以进行内网探测，并可以用于窃取用户邮箱的全部内容。

危害：该漏洞是Exchange中的服务端请求伪造漏洞(SSRF)，利用此漏洞的攻击者能够发送任意HTTP请求并绕过Exchange Server身份验证，远程未授权的攻击者可以利用该漏洞以进行内网探测，并可以用于窃取用户邮箱的全部内容。

(2) CVE-2021-26857

该漏洞是Unified Messaging 服务中的不安全的反序列化漏洞。利用该漏洞，攻击者可以发送精心构造的恶意请求，从而在Exchange Server上以SYSTEM身份执行任意代码。

危害：该漏洞是Unified Messaging 服务中的不安全的反序列化漏洞。利用该漏洞，攻击者可以发送精心构造的恶意请求，从而在Exchange Server上以SYSTEM身份执行任意代码。

(3) CVE-2021-26858

该漏洞是Exchange中的任意文件写入漏洞。该漏洞需要进行身份认证，利用此漏洞可以将文件写入服务器上的任何路径。并可以结合利用CVE-2021-26855 SSRF漏洞或绕过权限认证进行文件写入。

危害：该漏洞是Exchange中的任意文件写入漏洞。该漏洞需要进行身份认证，利用此漏洞可以将文件写入服务器上的任何路径。并可以结合利用CVE-2021-26855 SSRF漏洞或绕过权限认证进行文件写入。

(4) CVE-2021-27065

该漏洞是Exchange中的任意文件写入漏洞。该漏洞需要进行身份认证，利用此漏洞可以将文件写入服务器上的任何路径。并可以结合利用CVE-2021-26855 SSRF漏洞或绕过权限认证进行文件写入。

危害：该漏洞是Exchange中的任意文件写入漏洞。该漏洞需要进行身份认证，利用此漏洞可以将文件写入服务器上的任何路径。并可以结合利用CVE-2021-26855 SSRF漏洞或绕过权限认证进行文件写入。

影响范围

Microsoft Exchange 2013
Microsoft Exchange 2016
Microsoft Exchange 2019
Microsoft Exchange 2010

防范措施

(1) 微软官方已经发布了解决上述漏洞的安全更新，建议受影响用户尽快升级到安全版本，官方安全版本下载可以参考以下链接：

CVE-2021-26855: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-26855
CVE-2021-26857: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-26857
CVE-2021-26858: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-26858
CVE-2021-27065: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-27065

(2) 若无法及时进行升级，建议采用官方的临时措施进行防御：

https://www.microsoft.com/security/blog/2021/03/02/hafnium-targeting-exchange-servers/

【责任编辑：赵宁宁 TEL：（010）68476606】

微信关注我们

原文链接：http://netsecurity.51cto.com/art/202103/648146.htm

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

seoClarity调查：逾80%美国人相信Google搜索

近期，seoClarity调查了1057名美国居民对科技企业的信任程度，发现72.5%的居民认为搜索引擎和社交媒体有责任对平台上的内容进行“事实核查”。对于Google搜索引擎，有21.4%的人几乎完全相信搜索结果，81.8%的人基本相信搜索结果。年龄方面，年长的对Google信任度较低。另外，有50%的人相信网站能够控制它们在Google搜索结果中的位置。此外，61.9%的人认为搜索引擎和社交媒体公司需要更多的监管，34.1%的人认为社交媒体公司没有足额纳税。对于社交媒体平台，大约有四成的人不信任 Facebook 和 TikTok。报告还显示了受调查者对于科技产品安全性的态度，其中有 75% 的人担心科技公司会储存来自可穿戴技术收集的健康数据，34% 的人相信智能音箱和语音助手对儿童不安全。【责任编辑：赵宁宁 TEL：（010）68476606】

2021-03-03

910

【51CTO.com原创稿件】本周，云数据管理备份解决方案厂商Veeam正式发布了全新一代的Veeam Backup&ReplicationV11，为云、虚拟、物理和企业工作负载提供最先进的数据保护解决方案。作为一款 4 合 1 的解决方案，Veeam Backup & Replicationv11 继续秉承着简单、灵活、可靠的差异化特性，新增加了200多项全新的功能，将存储快照、备份、复制及连续数据保护整合至一个平台，解锁 SLA、保留和服务交付选项，实现比以往更出色的弹性和安全性。媒体沟通会上，Veeam中国区总经理张弘表示，Veeam Backup & Replicationv11标志着Veeam正式进入第二大阶段：由传统数据中心步入云数据中心时代。在云数据中心时代，Veeam扮演的角色是可信任的数据保护专家，宗旨是帮助企业用户降低数据管理风险，加速企业数字化转型的步伐。 4 合 1 的数据管理备份解决方案在数字时代的今天，企业对于数据安全保护的意识越来越高，如何在有效控制成本的同时，数据丢伯并抵御网络威胁，成为摆在他们面前的一项艰巨挑战。随着云时代的...

2021-03-03

768

资源下载

更多资源

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。