Microsoft Exchange com quatro falhas zero-day descobertas

A Microsoft confirmou que existem quatro vulnerabilidades zero-day descobertas recentemente sobre o Microsoft Exchange, que podem permitir aos atacantes executarem remotamente código malicioso.

As falhas, se exploradas, podem permitir que seja executado código remotamente para o roubo de dados ou acesso a contas. As falhas foram identificadas pelos investigadores da empresa de segurança Trend Micro, tendo sido reportadas à Microsoft a 7 e 8 de Setembro de 2023.

Apesar de, na altura, a Microsoft ter confirmado as falhas, os engenheiros da empresa consideraram que estas não teriam gravidade suficiente para receberem uma correção imediata.

Os investigadores, na altura, discordaram desta decisão, afirmando que as falhas tinham o potencial de ser ativamente exploradas para ataques, e que colocavam em risco praticamente todas as instalações do software. Todas as falhas encontram-se classificadas com uma gravidade, na escala de CVSS, entre 7.1 e 7.5, o que será consideravelmente elevado. Ao mesmo tempo, as falhas apenas podem ser exploradas por utilizadores autenticados no sistema, o que os investigadores acreditam ter sido um dos motivos para não as classificarem como “graves”.

No entanto, estas podem permitir que dados sensíveis sejam roubados em sistemas ou contas que tenham sido comprometidas, e que os criminosos possuem meios de obterem dados de autenticação em sistemas Exchange, que podem permitir a exploração em larga escala da falha.

Até ao momento a Microsoft ainda não forneceu a correção para estas falhas, embora as mesmas tenham sido divulgadas pelos investigadores.