Компания Microsoft обновила бюллетень безопасности, посвященный уязвимости CVE-2024-21410 (9,8 баллов по шкале CVSS), исправленной ранее в этом месяце. Как сообщается теперь, критический баг в Exchange Server использовался хакерами в качестве уязвимости нулевого дня еще до выхода патча. Уязвимость CVE-2024-21410 была обнаружена самими специалистами Microsoft и позволяет удаленным неаутентифицированным злоумышленникам повысить привилегии в рамках атак типа NTLM relay, направленных на уязвимые версии Exchange Server. «Злоумышленник может атаковать NTLM-клиент, например Outlook, с помощью NTLM-уязвимости, допускающей утечку учетных данных, — поясняют в Microsoft. — Такая утечка может быть передана на сервер Exchange для получения привилегий клиента-жертвы и выполнения операций на сервере Exchange от имени жертвы. Злоумышленник, успешно эксплуатирующий эту проблему, может использовать утечку хеша Net-NTLMv2 на уязвимом сервере Exchange Server и аутентифицироваться как пользователь». Обновление Exchange Server 2019 Cumulative Update 14 (CU14), выпущенное в рамках февральского «вторника обновлений», устранило эту уязвимость путем активации NTLM credentials Relay Protections (эта функциональность также известная как Extended Protection for Authentication или EPA). Кроме того, на этой неделе компания объявила, что расширенная защита Windows Extended Protection будет включена по умолчанию на всех серверах Exchange после установки CU14. Уже после выхода патчей Microsoft обновила свой бюллетень безопасности, посвященный CVE-2024-21410, и сообщила, что уязвимость использовалась хакерами в качестве 0-day. Таким образом, в рамках февральского «вторника обновлений» было исправлено не две уязвимости, находившихся под атаками (CVE-2024-2135 и CVE-2024-21412), а три. При этом подробностей об эксплуатации и злоумышленниках, которые использовали CVE-2024-21410, в компании не сообщают.