Microsoft Exchange任意用户伪造漏洞（CVE-2018-8581）处置手册
近日，安全研究人员公布了Microsoft Exchange 任意用户伪造漏洞（CVE-2018-8581）的细节，攻击经过身份认证后，利用该漏洞可以冒充任意账户，甚至可获得被冒用者的权限。
■ 预警编号 NS-2019-0001
■ 危害等级 高，此漏洞可导致越权访问任意Exchange用户的邮件信息，结合特定的场景和其他安全问题可能实现权限提升，PoC及漏洞细节已公开。
漏洞概述
近日，安全研究人员公布了Microsoft Exchange 任意用户伪造漏洞（CVE-2018-8581）的细节，攻击经过身份认证后，利用该漏洞可以冒充任意账户，甚至可获得被冒用者的权限。目前针对此漏洞的PoC已经公开，微软尚未对此漏洞发布安全补丁，但在官方通告中给出了临时缓解方案，请相关用户尽快采取防护措施。
参考链接：
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2018-8581
https://www.zerodayinitiative.com/blog/2018/12/19/an-insincere-form-of-flattery-impersonating-users-on-microsoft-exchange
影响范围
受影响版本：
- Microsoft Exchange Server 2010
- Microsoft Exchange Server 2013
- Microsoft Exchange Server 2016
- Microsoft Exchange Server 2019
漏洞排查
注册表排查
用户可判断是否存在以下注册表项
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\DisableLoopbackCheck，
若存在且键值为1，则说明存在风险。
注：注册表项HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\DisableLoopbackCheck为身份验证环回检查，当其设置为1时，表示该项被禁用。
漏洞防护
目前微软还未对此漏洞发布相关的安全补丁，但在安全公告中给出了临时缓解方案，用户可通过删除注册表项DisableLoopbackCheck来实现对该漏洞的防护，具体操作方法如下：
以管理员权限打开命令提示符并执行如下命令：
| reg delete HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Control \ Lsa / v DisableLoopbackCheck / f |
删除后无需重启系统或Exchange Server，即可生效。同时公告指出，Exchange更新后将不再默认启用该注册表项，也请用户及时关注官方的更新情况。
另：为确保服务稳定运行，用户可在执行上述注册表项删除命令前对注册表进行备份，具体步骤如下：
- 键入“Windows”+“R”，输入“exe”打开注册表编辑器。
2、点击“文件”->“导出”，将注册文件进行备份保存。
漏洞简析
此漏洞是由SSRF漏洞与其他漏洞结合利用而造成，Exchange允许任何用户构造所需URL推送订阅（Push Subscription），服务器将尝试向构造的URL发送通知。由于Exchange使用CredentialCache.DefaultCredentials实现连接，而在Exchange Web Server（EWS）中，CredentialCache.DefaultCredentials在NT AUTHORITY\SYSTEM上运行，导致Exchange Server发送NTLM hashes至攻击者邮箱。
同时，由于Exchange服务器默认设置HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\DisableLoopbackCheck = 1，导致攻击者可使用该NTLM hashes进行HTTP认证。例如利用NTLM hashes登录EWS。由于其具有NT AUTHORITY\SYSTEM权限，攻击者可与TokenSerializationRight进行“特权”会话，然后利用SOAP头部模拟任何想要伪装的用户。
注：
- NT AUTHORITY\SYSTEM为系统内置账号，对本地系统拥有完全控制权限；在工作组模式下，该账户不能访问网络资源；通常用于服务的运行，不需要密码。
声明
本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，绿盟科技以及安全公告作者不为此承担任何责任。
绿盟科技拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经绿盟科技允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。
关于绿盟科技
北京神州绿盟信息安全科技股份有限公司（简称绿盟科技）成立于2000年4月，总部位于北京。在国内外设有30多个分支机构，为政府、运营商、金融、能源、互联网以及教育、医疗等行业用户，提供具有核心竞争力的安全产品及解决方案，帮助客户实现业务的安全顺畅运行。
基于多年的安全攻防研究，绿盟科技在网络及终端安全、互联网基础安全、合规及安全管理等领域，为客户提供入侵检测/防护、抗拒绝服务攻击、远程安全评估以及Web安全防护等产品以及专业安全服务。
北京神州绿盟信息安全科技股份有限公司于2014年1月29日起在深圳证券交易所创业板上市交易，股票简称：绿盟科技，股票代码：300369。