Microsoft Exchange Server Remote Code Execution Vulnerability

CVE-2021-26857 é uma falha de desserialização insegura (CWE-502) no serviço Unified Messaging do Microsoft Exchange Server, que permite execução remota de código com privilégios de SYSTEM. Isoladamente exige acesso local e interação do usuário, mas seu peso real vem de ter sido o terceiro elo da cadeia ProxyLogon, explorada em massa por atores estatais e criminosos em 2021 antes da correção estar disponível para a maioria dos ambientes.

O Unified Messaging service do Exchange processa dados serializados vindos de mensagens e requisições internas sem validar adequadamente sua origem ou estrutura. A falha permite que um objeto malicioso desserializado execute código arbitrário no contexto do processo, que roda com privilégios SYSTEM no servidor. O CWE associado (CWE-502, Deserialization of Untrusted Data) confirma o padrão: o serviço aceita e reconstrói objetos .NET a partir de entrada controlável, e a reconstrução em si dispara a execução de código sem validação de tipo ou origem.

A pontuação CVSS informada pelo fornecedor (AV:L/AC:L/PR:N/UI:R) trata a vulnerabilidade como isolada — como se o atacante já precisasse de acesso local ao host e algum tipo de interação para acionar a desserialização. Essa pontuação isolada subestima o risco real, porque ignora o contexto em que a falha foi efetivamente usada.

Na cadeia ProxyLogon, documentada por pesquisadores e pela própria Microsoft, o CVE-2021-26857 nunca foi explorado isoladamente. Ele foi combinado com CVE-2021-26855 (SSRF pré-autenticação no front-end do Exchange), que permite ao atacante autenticar-se remotamente como qualquer usuário — inclusive como um serviço com acesso ao Unified Messaging — sem credenciais válidas. Uma vez dentro desse contexto autenticado forjado, a desserialização insegura do CVE-2021-26857 é acionada para obter execução de código com privilégios de SYSTEM, completando a escalada de SSRF remoto e não autenticado até RCE total no servidor.

O vetor de exploração real, documentado em campo, é remoto e pré-autenticado quando encadeado: o atacante envia requisições HTTP manipuladas ao front-end do Exchange (Client Access Service) explorando o SSRF do CVE-2021-26855 para forjar uma sessão autenticada de um serviço interno; a partir daí, interage com o Unified Messaging service para acionar a desserialização maliciosa do CVE-2021-26857 e obter execução de código como SYSTEM. Isso não exige credenciais de usuário nem interação de vítima — apenas acesso de rede à interface HTTPS do Exchange exposta.

Essa cadeia foi identificada e atribuída pela Microsoft ao grupo Hafnium, que a explorou de forma direcionada antes da divulgação pública, e em seguida foi amplamente escaneada e explorada em massa por múltiplos atores (incluindo operadores de ransomware e criptomineração) assim que os detalhes técnicos e provas de conceito se tornaram públicas, resultando em comprometimento de milhares de servidores Exchange expostos à internet no mundo inteiro. A CISA confirma exploração ativa ao incluir a CVE no catálogo KEV, classificando-a como parte da cadeia ProxyLogon.

O resultado final da exploração completa é execução de código arbitrário no servidor Exchange com privilégios de sistema, o que na prática significa controle total do servidor de e-mail, possibilidade de exfiltração de caixas de correio, instalação de webshells para persistência, e pivô lateral dentro da rede corporativa — o Exchange normalmente roda com privilégios elevados no Active Directory.

A correção definitiva é aplicar as atualizações de segurança lançadas pela Microsoft fora do ciclo normal em 2 de março de 2021, referentes ao advisory MSRC para CVE-2021-26857, cobrindo Exchange Server 2010 (Service Pack 3), 2013 (Cumulative Updates 21, 22 e 23, e Service Pack 1) e 2016 (Cumulative Updates 10, 11 e 12). Como o Exchange exige que os Cumulative Updates estejam atualizados antes de aplicar a correção de segurança, ambientes atrasados em CU precisam primeiro atualizar o CU e só então aplicar o patch — não há atalho.

Se a atualização não puder ser aplicada imediatamente, a CISA determinou (via Emergency Directive ED 21-02) que servidores Exchange vulneráveis expostos deveriam ser desconectados da internet até a correção ser aplicada; esse é o único paliativo com efeito real quando o patch não é viável no curto prazo, já que a exploração remota depende de acesso de rede à interface do Exchange. Restringir acesso ao Outlook Web Access/ECP por VPN ou lista de IPs reduz a superfície, mas não elimina o risco caso o atacante já tenha acesso interno.

Não funciona como mitigação isolar apenas o Unified Messaging service sem corrigir também o CVE-2021-26855 (SSRF) e os demais elos da cadeia (CVE-2021-26858, CVE-2021-27065) — como a exploração real depende da cadeia completa, corrigir apenas um CVE da lista deixa o servidor vulnerável aos outros vetores que levam ao mesmo resultado final.

Sinais de tentativa ou sucesso de exploração incluem requisições anômalas nos logs do IIS/HTTP proxy do Exchange direcionadas a componentes internos (ECP, Autodiscover, Unified Messaging), presença de webshells (arquivos .aspx recém-criados em diretórios do Exchange não relacionados a atualizações legítimas), e processos filhos inesperados gerados pelo w3wp.exe ou pelo processo do Unified Messaging service. A Microsoft publicou o script Test-ProxyLogon para auxiliar na varredura de indicadores de comprometimento relacionados à cadeia completa.

Como a exploração combina múltiplas CVEs em sequência, um sinal isolado de tentativa de CVE-2021-26857 raramente aparece sozinho nos logs — o padrão mais confiável é correlacionar logs do front-end (indicando SSRF) com atividade subsequente do Unified Messaging service e criação de arquivos suspeitos no sistema de arquivos do servidor.