Microsoft Exchange Server Remote Code Execution Vulnerability

CVE-2021-27065 é a falha de escrita arbitrária de arquivo pós-autenticação no Exchange Server que fecha a cadeia ProxyLogon, permitindo depositar um webshell no servidor e executar código como SYSTEM. Isoladamente exige autenticação e interação, mas encadeada com o SSRF pré-autenticação CVE-2021-26855 se torna RCE remoto e não autenticado — foi assim que o grupo HAFNIUM a explorou como zero-day em massa contra servidores Exchange on-premises antes da divulgação pública em março de 2021.

A vulnerabilidade está no componente de gerenciamento do Exchange (Exchange Control Panel / backend), classificada como CWE-39 (Path Traversal / escrita de arquivo em caminho indevido). Um usuário já autenticado no Exchange consegue especificar um caminho arbitrário no sistema de arquivos do servidor onde o serviço grava dados, permitindo depositar um arquivo controlado pelo atacante — tipicamente uma página ASPX (webshell) — em um diretório servido pelo IIS.

O vetor CVSS oficial (AV:L, PR:N, UI:R) reflete a vulnerabilidade isolada, como se o atacante já operasse localmente e precisasse de alguma interação. Isso subestima o risco real: CVE-2021-27065 nunca foi explorada isolada. Ela é a peça final da cadeia ProxyLogon, que combina CVE-2021-26855 (SSRF pré-autenticação que permite forjar uma sessão autenticada como Exchange), opcionalmente CVE-2021-26857 (deserialização insegura no serviço de Unified Messaging) e CVE-2021-26858 (outra escrita de arquivo pós-auth) para chegar a execução de código completa sem qualquer credencial válida.

O atacante controla o conteúdo do arquivo gravado e, em grande medida, o caminho de destino dentro da árvore do IIS, o que é suficiente para plantar um script server-side executável e obter execução de comandos com os privilégios do processo do Exchange (SYSTEM).

Na exploração real observada, o atacante não precisa de credenciais: usa CVE-2021-26855 para enviar requisições HTTP forjadas que o servidor Exchange trata como vindas de um usuário autenticado, e então usa esse contexto de autenticação forjada para acionar CVE-2021-27065 e gravar um webshell ASPX em um caminho acessível via web (frequentemente sob diretórios do OWA/ECP). A partir daí, requisições HTTP subsequentes para esse webshell dão execução de comando arbitrário no servidor.

A campanha original foi um zero-day: o grupo identificado pela Microsoft como HAFNIUM explorou a cadeia contra milhares de servidores Exchange on-premises expostos à internet antes da correção estar disponível, e a exploração massiva por múltiplos atores (incluindo ferramentas automatizadas e depois módulos Metasploit e PoCs públicas) continuou por meses após a divulgação, à medida que operadores despreparados deixaram servidores sem patch. O único pré-requisito de infraestrutura é ter os serviços web do Exchange (OWA/ECP, portas 443/80) alcançáveis pelo atacante; não é necessária configuração não padrão.

O resultado final documentado em incidentes reais varia de webshells simples (China Chopper e variantes) a implantação de ferramentas de acesso remoto, exfiltração de caixas de correio e, em casos subsequentes, ransomware.

A correção está nas atualizações de segurança cumulativas para Exchange Server publicadas pela Microsoft em 2 de março de 2021, fora do ciclo normal, cobrindo as builds do Exchange 2013 (CU21, CU22, CU23 e a Service Pack 1 antiga) e Exchange 2016 (CU10 a CU13) listadas como afetadas. Aplicar a atualização de segurança correspondente à CU instalada é a mitigação real; não existe forma de fechar esta vulnerabilidade específica sem patch, porque ela está no código do serviço, não em uma configuração exposta.

Como esta CVE só é explorável em conjunto com CVE-2021-26855, qualquer controle compensatório precisa mitigar a cadeia inteira, não apenas esta peça. A Microsoft chegou a publicar mitigações interinas (URL Rewrite bloqueando padrões usados no SSRF, desabilitar serviços de Unified Messaging, EWS e ECP quando não usados) para quem não conseguia atualizar imediatamente, mas essas medidas eram paliativas e não substituíam o patch — servidores mitigados e não corrigidos continuaram sendo alvo. Restringir acesso externo direto às portas do Exchange (colocando-o atrás de VPN ou proxy autenticado antes do IIS) reduz a superfície, mas ambientes que expõem OWA/ECP diretamente à internet — o padrão em muitas organizações — ficam vulneráveis enquanto não aplicam a atualização.

Se o servidor já foi exposto à internet sem patch por qualquer período em 2021, aplicar a atualização não é suficiente: é necessário assumir possível comprometimento prévio e caçar webshells e indicadores de persistência, já que a exploração massiva antecedeu a divulgação e o patch.

Como a exploração real depende da cadeia ProxyLogon completa, os sinais mais confiáveis não estão isolados nesta CVE: procure por arquivos .aspx recém-criados em diretórios do IIS servidos pelo Exchange (especialmente sob caminhos do OWA/ECP e aspnet_client) sem correspondência com atualizações legítimas, entradas de log do IIS com requisições POST anômalas para /ecp/ ou /owa/ com padrões de SSRF (X-BEResource, X-AnonResource-Backend) antecedendo a criação desses arquivos, e presença de webshells conhecidos (variantes de China Chopper) no sistema de arquivos.

A Microsoft e a CISA distribuíram scripts de verificação voltados especificamente para indicadores de comprometimento do ProxyLogon (incluindo o CVE-2021-27065) logo após a divulgação; ambientes que não rodaram essa verificação retroativamente sobre logs de fevereiro-março de 2021 não têm garantia de que a ausência de sinais atuais signifique ausência de comprometimento passado.