ProxyShell

segurança

Uma cadeia de exploração do Exchange de 2021 relacionada ao ProxyLogon.

O ProxyShell encadeou três vulnerabilidades do Exchange para chegar à execução remota de código e, como o ProxyLogon, foi intensamente explorado por múltiplos agentes de ameaça. Juntos, tornaram a correção do Exchange uma prioridade urgente naquele ano.

O ProxyShell foi uma segunda cadeia de vulnerabilidades no Exchange, divulgada após o ProxyLogon, seguindo o mesmo padrão de combinar várias falhas em execução remota de código sem autenticação, e explorada intensamente por operadores de ransomware contra organizações que haviam corrigido a primeira cadeia e não a segunda.

O padrão que ele demonstra merece nome: um produto que produz uma cadeia séria de vulnerabilidades frequentemente produz outra, porque a arquitetura subjacente e as suposições que permitiram a primeira continuam presentes. Atacantes que investiram em entender uma base de código para a primeira campanha são também os mais bem posicionados para achar a questão seguinte, então a pesquisa se concentra em vez de se dispersar.

A consequência estratégica para os defensores é que uma única correção não é resolução quando o mesmo componente segue produzindo cadeias exploráveis. Esse raciocínio é o que tirou muitas organizações do Exchange local por completo, que é resposta legítima e uma forma de transferência de risco, e não de eliminação, já que a alternativa hospedada concentra o mesmo risco em algum lugar com equipe melhor e raio de impacto muito maior quando de fato falha.

Também conhecido como: ProxyShell, CVE-2021-34473

← Todos os verbetes do glossário