Microsoft Exchange Server Remote Code Execution Vulnerability

CVE-2021-34473 é uma falha de Server-Side Request Forgery (SSRF) pré-autenticação no serviço Autodiscover do Microsoft Exchange Server, descoberta por Orange Tsai (ZDI) e apresentada no Pwn2Own 2021. Isoladamente ela não entrega RCE — é o primeiro elo da cadeia conhecida como ProxyShell, que combinada com CVE-2021-34523 e CVE-2021-31207 resulta em execução remota de código como SYSTEM sem autenticação. Importa porque foi explorada em massa a partir de agosto de 2021, entrou no catálogo KEV da CISA e teve uso confirmado em campanhas de ransomware.

A falha está no componente Autodiscover do Exchange (CWE-918, SSRF). O serviço não valida corretamente a URI recebida antes de acessar recursos internos, permitindo que um atacante manipule o caminho da requisição para fazer o servidor front-end encaminhar chamadas para serviços backend internos do Exchange — inclusive o backend do PowerShell remoto, que roda com privilégios elevados. Como o Autodiscover é exposto sem exigência de autenticação, o atacante controla o destino e parte do conteúdo da requisição forjada, mas não credenciais nem sessão válida.

A classificação como 'Remote Code Execution' no título da Microsoft é o rótulo dado à cadeia completa demonstrada por Orange Tsai (ProxyShell), não ao comportamento isolado desta CVE. Sozinha, CVE-2021-34473 permite bypass de autenticação via SSRF — o atacante consegue fazer o Exchange autenticar em nome dele contra serviços internos. Para chegar a execução de código é necessário encadear essa falha com CVE-2021-34523 (elevação de privilégio no backend PowerShell do Exchange) e CVE-2021-31207 (path confusion que permite escrita arbitrária de arquivo), o que na prática resulta em upload de webshell.

Há divergência de severidade entre fontes: a Microsoft/NVD atribuem CVSS 9.1 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N), enquanto o advisório da ZDI (ZDI-21-821) pontua 10.0 com Scope Changed (S:C) e impacto total em confidencialidade, integridade e disponibilidade — refletindo o resultado da cadeia completa, não apenas do SSRF isolado.

Na exploração real (ProxyShell), o atacante envia requisições HTTP não autenticadas ao endpoint Autodiscover exposto publicamente pelo Exchange, abusando do SSRF para localizar e falar com o mailbox backend e obter um token/contexto que permite chamadas de PowerShell remoto autenticadas como um usuário legítimo — sem jamais possuir credenciais válidas. A partir daí, a elevação de privilégio e o path confusion das outras duas CVEs da cadeia permitem gravar um arquivo (webshell) em um diretório acessível via IIS, dando execução de código arbitrário como SYSTEM.

A correção está nas atualizações de segurança de abril de 2021 do Exchange Server, aplicáveis a Exchange 2013 CU23, Exchange 2016 CU19/CU20 e Exchange 2019 CU8/CU9 — instalar a CU correspondente já corrigida elimina a falha; instalar apenas o patch sem estar na Cumulative Update mínima exigida não funciona, pois o Exchange exige a CU base para aplicar hotfixes de segurança. Não existe mitigação de configuração equivalente a corrigir a falha: desabilitar totalmente o Autodiscover quebra funcionalidades de cliente (Outlook, ActiveSync) e não é uma opção suportada pela Microsoft para produção.

Como controle compensatório quando a atualização não é imediata, restringir o acesso externo ao endpoint Autodiscover (via reverse proxy, WAF ou regra de firewall que bloqueie padrões de URI anômalos) reduz superfície de ataque, mas não é substituto do patch — a exploração de ProxyShell foi documentada mesmo contra instalações apenas parcialmente expostas. Ambientes já comprometidos precisam de varredura de webshells e revisão de contas/mailboxes, já que a cadeia completa entrega execução de código, não apenas acesso de leitura.

Sinal mais confiável de exploração da cadeia ProxyShell é a presença de webshells em diretórios acessíveis via IIS do Exchange e entradas incomuns nos logs do IIS/Autodiscover com padrões de URI malformados ou requisições anômalas ao endpoint Autodiscover vindas de IPs externos sem sessão de cliente legítima associada. Como o SSRF isolado não deixa artefato de código executado, a ausência de webshell não garante que não houve tentativa — convém correlacionar logs do Autodiscover com logs do backend PowerShell remoto e com criação de arquivos .aspx não reconhecidos nos diretórios web do Exchange.