Независимый исследователь Марко ван Бик (Marco van Beek) обнаружил уязвимость в почтовом сервере Microsoft Exchange.
По его словам, практически все клиенты Microsoft Exchange (Outlook, клиенты для Windows Phone, Android, Blackberry и прочее) могут предоставлять незашифрованные пароли пользователей практически любому серверу из домена, фигурирующего в электронном адресе.
Для эксплуатации данной уязвимости потребуется всего четыре строки кода и локальный конфигурационный файл, пояснил ван Бик в интервью. «Обычно web-серверы менее защищены, нежели корпоративные почтовые серверы, поэтому процесс компрометации Microsoft Exchange сводится ко взлому связанного с доменом сервера и ожиданию, пока он не соберет все пароли, которые вам могут когда-либо понадобиться», – отметил ван Бик.
В начале августа исследователь сообщил о проблеме Microsoft, однако компания отреагировала только месяц спустя, ответив, что не намерена выпускать патч, устраняющий уязвимость. «Описанная проблема предполагает, что общий сервер уже был скомпрометирован другим методом. В настоящее время у нас нет планов по выпуску соответствующего обновления безопасности», – говорится в комментарии Microsoft.
Тем не менее, Марко ван Бик не согласен с данным заявлением. По его словам, Microsoft забыла упомянуть, что взломанный сервер продолжает использовать валидный сертификат, чем могут воспользоваться злоумышленники.
