Microsoft Exchange Server 在过去 12 到 18 个月内受到了打击。邮件和日历服务出现了大量错误、漏洞和漏洞。由于我们必须等到 2025 年才能发布下一个版本，因此当前的 Exchange Server 就是我们所拥有的。不幸的是，微软今天确认了该平台上的两个新的零日漏洞。
该公司正在跟踪漏洞，分别为 CVE-2022-41040 和 CVE-2022-41082。微软将第一个描述为服务器端请求伪造 (SSRF) 错误，而第二个可能允许威胁参与者通过 PowerShell 进行远程代码执行 (RCE) 攻击。但是，攻击将要求恶意行为者具有对 Microsoft Exchange Server 的经过身份验证的访问权限。
此外，微软表示 Exchange Server 用户不需要做任何事情，因为这些漏洞仅适用于 Exchange Server 2013、2016 和 2019 的本地版本。
即便如此，微软还没有发布任何一个零日补丁。因此，该公司目前没有提供有关攻击外观的许多细节。这只是为了避免向威胁参与者提供可能帮助他们启动攻击链的信息。
虽然，Microsoft 提供了一些解决方法，例如在 URL 重写指令中设置阻止规则，并在远程 PowerShell 中阻止端口 5986 (HTTPS) 和 5985 (HTTP)。
困难时刻
Microsoft Exchange 服务器经历了艰难的 18 个月，包括令人沮丧的 2021 年，对服务的攻击成为今年最大的网络威胁。然后LockFile 勒索软件就成了一个问题。
4 月，微软确认Hive 勒索软件即服务的目标是 Exchange Server。
未经允许不得转载：表盘吧 » 微软警告两个新的 Exchange Server 0-Day 漏洞
