En “designfel” i Microsoft Autodiscover -protokollet var föremål för en undersökning av forskare som fann att de kunde skaffa domänuppgifter.
På onsdagen publicerade Guardicore Labs AVP för säkerhetsforskning Amit Serper resultaten av en analys av Autodiscover, ett protokoll som används för att autentisera till Microsoft Exchange -servrar och för att konfigurera klientåtkomst.
Det finns olika iterationer av protokollet tillgängliga för användning. Guardicore utforskade en implementering av Autodiscover baserat på POX XML och hittade en “designfel” som kan utnyttjas för att “läcka” webbförfrågningar till Autodiscover-domäner utanför en användares domän, så länge de var i samma toppdomän (TLD) ).
För att testa protokollet registrerade och köpte teamet först ett antal domäner med ett TLD -suffix, inklusive Autodiscover.com.br, Autodiscover.com.cn, Autodiscover.com.fr och Autodiscover.com.uk, och så vidare .
Dessa domäner tilldelades sedan till en Guardicore -webbserver, och forskarna säger att de “helt enkelt väntade på webbförfrågningar för olika Autodiscover -slutpunkter”.
“Back-off” -förfarandet beskrivs som “den skyldige” i läckan eftersom misslyckanden med att lösa webbadresser baserade på analyserade, användarlevererade e-postadresser kommer att resultera i en “fail up”:
“Det vill säga, resultatet av nästa försök att bygga en Autodiscover URL skulle vara: http://Autodiscover.com/Autodiscover/Autodiscover.xml”, förklarade forskarna. “Det betyder att den som äger Autodiscover.com kommer att få alla förfrågningar som inte kan nå den ursprungliga domänen. […] Till vår förvåning började vi se betydande mängder förfrågningar till Autodiscover -slutpunkter från olika domäner, IP -adresser och klienter . “
Totalt kunde Guardicore fånga 372 072 Windows -domänuppgifter och 96 671 unika uppsättningar referenser från källor inklusive Microsoft Outlook och e -postklienter mellan 16 april och 25 augusti 2021. Vissa uppsättningar skickades via grundläggande HTTP -autentisering.
Guardicore
Kinesiska företag, livsmedelsproducenter, verktygsföretag, sjöfarts- och logistikorganisationer med mera ingick.
“Det intressanta problemet med en stor mängd förfrågningar som vi fick var att det inte fanns något försök på klientsidan att kontrollera om resursen är tillgänglig eller ens finns på servern innan du skickar en autentiserad begäran”, förklarade teamet.
Guardicore kunde också skapa en attackmetod baserad på en angripare som styr relevanta TLD -domäner som nedgraderade referenser som skickades till dem i alternativa autentiseringssystem – till exempel NTLM och OAuth – till HTTP -grundläggande autentisering.
Serper sa till ZDNet, “protokollfelet är inte nytt; vi kunde bara utnyttja det i massiv skala.”
Tidigare forskning utförd av Shape Security och publicerad 2017 utforskar Autodiscover och dess potential för missbruk (.PDF). Tidningen fokuserar dock på autodiscover -implementeringar i mobila e -postklienter.
Guardicore säger att det har “initierat ansvarsfulla avslöjandeprocesser med några av de berörda leverantörerna” av den senaste upptäckten.
För att mildra detta problem säger Guardicore att Autodiscover TLD -domäner bör blockeras av brandväggar, och när Exchange -inställningar konfigureras, bör stöd för grundläggande autentisering inaktiveras – eftersom detta är “samma sak som att skicka ett lösenord i klartext över tråden.”
ZDNet har kontaktat Microsoft och vi kommer att uppdatera när vi hörs.
Tidigare och relaterad täckning
Tidigare AWS -chefen Charlie Bell kommer att leda nya Microsoft Security, Compliance, Identity and Management org
Allt du behöver veta om Microsoft Exchange Server -hacket
Storbritannien och Vita huset skyller på Kina för Microsoft Exchange Server hack
Har du ett tips? Hör av dig säkert via WhatsApp | Signal på +447713 025 499 eller senare på Keybase: charlie0
Relaterade ämnen:
Microsoft Security TV Data Management CXO Data Center