Независимый исследователь Марко ван Бик (Marco van Beek) обнаружил уязвимость в почтовом сервере Microsoft Exchange. По его словам, практически все клиенты Microsoft Exchange (Outlook, клиенты для Windows Phone, Android, Blackberry и пр.) могут предоставлять незашифрованные пароли пользователей практически любому серверу из домена, фигурирующего в электронном адресе. Для эксплуатации данной уязвимости потребуется всего четыре строки кода и локальный конфигурационный файл, пояснил ван Бик в интервью ресурсу The Register.
“Обычно web-серверы менее защищены, нежели корпоративные почтовые серверы, поэтому процесс компрометации Microsoft Exchange сводится ко взлому связанного с доменом сервера и ожиданию, пока он не соберет все пароли, которые вам могут когда-либо понадобиться”, – отметил ван Бик. В начале августа исследователь сообщил о проблеме Microsoft, однако компания отреагировала только месяц спустя, ответив, что не намерена выпускать патч, устраняющий уязвимость.
“Описанная проблема предполагает, что общий сервер уже был скомпрометирован другим методом. В настоящее время у нас нет планов по выпуску соответствующего обновления безопасности”, – говорится в комментарии Microsoft. Тем не менее, Марко ван Бик не согласен с данным заявлением. По его словам, Microsoft забыла упомянуть, что взломанный сервер продолжает использовать валидный сертификат, чем могут воспользоваться злоумышленники. (Microsoft/NovostIT)
