microsoft exchange server 在过去 12 到 18 个月内受到了打击。邮件和日历服务出现了大量错误、漏洞和漏洞。由于我们必须等到 2025 年才能发布下一个版本，因此当前的 exchange server 就是我们所拥有的。不幸的是，微软今天确认了该平台上的两个新的零日漏洞。
该公司正在跟踪漏洞，分别为 cve-2022-41040 和 cve-2022-41082。微软将第一个描述为服务器端请求伪造 (ssrf) 错误，而第二个可能允许威胁参与者通过 powershell 进行远程代码执行 (rce) 攻击。但是，攻击将要求恶意行为者具有对 microsoft exchange server 的经过身份验证的访问权限。
此外，微软表示 exchange server 用户不需要做任何事情，因为这些漏洞仅适用于 exchange server 2013、2016 和 2019 的本地版本。
即便如此，微软还没有发布任何一个零日补丁。因此，该公司目前没有提供有关攻击外观的许多细节。这只是为了避免向威胁参与者提供可能帮助他们启动攻击链的信息。
虽然，microsoft 提供了一些解决方法，例如在 url 重写指令中设置阻止规则，并在远程 powershell 中阻止端口 5986 (https) 和 5985 (http)。
困难时刻
microsoft exchange 服务器经历了艰难的 18 个月，包括令人沮丧的 2021 年，对服务的攻击成为今年最大的网络威胁。然后lockfile 勒索软件就成了一个问题。
4 月，微软确认hive 勒索软件即服务的目标是 exchange server。
未经允许不得转载：凯发k8国际真人 » 微软警告两个新的 exchange server 0-day 漏洞
