Microsoft ha revelado una vulnerabilidad de gravedad alta en el servidor Exchange que permite a los atacantes falsificar remitentes legítimos en correos electrónicos entrantes, lo cual hace que los mensajes maliciosos sean más efectivos.
Vulnerabilidad identificada y afectados
La vulnerabilidad, con el identificador CVE-2024-49040, afecta a Exchange Server 2016 y 2019. Fue descubierta por Vsevolod Kokorin, investigador de seguridad de Solidlab, quien informó a Microsoft a principios de este año.
Explicación técnica
Kokorin señaló que el problema se debe a la forma en que los servidores SMTP analizan la dirección del destinatario. Esto permite la suplantación de correo electrónico, lo cual facilita ataques más sofisticados.
Además, Kokorin mencionó que algunos proveedores de correo permiten el uso de símbolos < y > en nombres de grupos, algo que no cumple con los estándares RFC. Durante su investigación, no encontró ningún proveedor que analice correctamente el campo 'De' según estos estándares.
Acciones de Microsoft
Microsoft ha lanzado actualizaciones para incluir avisos de advertencia y detección de explotación. La compañía también advierte que la vulnerabilidad podría usarse para falsificar ataques dirigidos a servidores Exchange.
Detección y mitigación
Microsoft explica que la vulnerabilidad se debe a la implementación actual de la verificación del encabezado P2 FROM, que ocurre en el transporte. Esta implementación permite que pasen algunos encabezados FROM P2 que no cumplen con RFC 5322, lo cual puede hacer que clientes como Microsoft Outlook muestren remitentes falsificados como si fueran legítimos.
Los servidores Exchange actualizados detectarán y prepararán una advertencia para correos electrónicos maliciosos después de instalar la Actualización de seguridad (SU) de noviembre de 2024 de Exchange Server. La detección de explotación CVE-2024-49040 y las advertencias por correo electrónico se habilitarán de forma predeterminada en todos los sistemas donde los administradores habiliten la configuración segura.
Advertencia sobre deshabilitar la protección
Microsoft proporciona un comando de PowerShell para aquellos que aún deseen deshabilitar esta nueva característica de seguridad. Sin embargo, recomienda encarecidamente dejarla habilitada, ya que deshabilitarla facilita que los malos actores ejecuten ataques de phishing contra su organización.
Los servidores Exchange actualizados también agregarán una advertencia al cuerpo de cualquier correo electrónico que detecten con un remitente falso y un encabezado X-MS-Exchange-P2FromRegexMatch, lo cual permitirá a los administradores rechazar correos electrónicos de phishing que intenten explotar esta falla usando reglas personalizadas.