Microsoft Exchange Server Information Disclosure Vulnerability

Falha de bypass de autenticação no Exchange Control Panel (ecp) do Microsoft Exchange Server que permite a um atacante não autenticado acessar serviços web internos e extrair informações sensíveis, incluindo tráfego de e-mail. Está no catálogo KEV da CISA com exploração confirmada em campo, o que eleva sua prioridade de correção muito além do que o CVSS de 7.3 sugere isoladamente — é parte do conjunto de falhas de Exchange exploradas ativamente em 2021.

A vulnerabilidade (CWE-287, autenticação imprópria) reside no mecanismo de autenticação de requisições feitas a serviços web dentro da aplicação ecp do Exchange Server. A ZDI descreve que, ao emitir uma requisição forjada para esses serviços, um atacante consegue contornar a verificação de autenticação sem possuir credenciais válidas.

A falha permite que o atacante alcance funcionalidades internas do ecp que deveriam estar restritas a usuários autenticados. O impacto reportado pela CISA é o roubo de tráfego de e-mail do alvo — ou seja, a falha não se limita a expor metadados triviais, mas pode dar acesso a conteúdo de mensagens.

O vetor CVSS informado (AV:N/AC:L/PR:N/UI:N) indica exploração remota, sem interação do usuário e sem privilégios prévios. A versão da ZDI usa AC:H (alta complexidade de ataque), o que sugere que, apesar de não exigir autenticação, a requisição forjada exige conhecimento ou condições específicas do ambiente para funcionar de forma confiável — divergência entre as duas pontuações que vale registrar.

O vetor de exploração é uma requisição HTTP(S) especialmente construída direcionada ao endpoint ecp do Exchange Server, sem necessidade de autenticação prévia. A CISA classifica o impacto final como capacidade de interceptar/roubar tráfego de e-mail do servidor alvo, o que indica que a falha vai além de simples enumeração de informação e chega a dados de correspondência.

A presença de PoC pública e de template Nuclei facilita a varredura automatizada em massa contra servidores Exchange expostos à internet — perfil típico das ondas de exploração de Exchange observadas em 2021. A CISA classifica a exploração como confirmada (entrada no KEV), embora não haja indicação, nas fontes consultadas, de que ela tenha sido usada em campanhas de ransomware.

A CVE foi reportada ao fornecedor por pesquisador da VNPT ISC em abril de 2021 e divulgada publicamente em julho de 2021 junto com a correção, portanto não se trata de exploração de dia zero documentada, mas de exploração pós-patch contra instalações não atualizadas.

A ação recomendada pela CISA é aplicar as atualizações de segurança conforme as instruções do fornecedor — não há detalhe de flag de configuração ou mitigação alternativa nas fontes consultadas. A correção foi disponibilizada por meio das atualizações de segurança de julho de 2021 para os Cumulative Updates então suportados de Exchange 2013, 2016 e 2019.

Não há, nas fontes analisadas, indicação de workaround funcional além de atualizar o servidor. Restringir o acesso ao ecp a redes confiáveis (VPN, allowlist de IP) reduz a superfície de ataque enquanto a atualização não é aplicada, mas isso é um controle compensatório e não substitui o patch — servidores Exchange expostos diretamente à internet sem essa restrição permanecem no maior risco.

A CISA fixou prazo de correção (due date) em 2022-02-01 para entidades federais dos EUA sob a diretiva de KEV, um indicador de urgência que se aplica por analogia a qualquer organização com Exchange on-premises exposto.

As fontes consultadas não trazem assinatura de log ou padrão de tráfego específico para detectar tentativas de exploração desta CVE — não há indicador confiável documentado aqui. Como o vetor envolve requisições ao endpoint ecp sem autenticação válida, revisar logs do IIS/Exchange (HttpProxy, ECP) por acessos anônimos ou anômalos a caminhos internos de serviços web do ecp é o ponto de partida razoável, mas sem padrão de payload confirmado pelas fontes não é possível afirmar assinatura precisa.