داده‌های اسکن اینترنت نشان می‌دهد که بیش از ۲۸ هزار سرور Microsoft Exchange که به‌روزرسانی نشده‌اند، همچنان به‌صورت عمومی در معرض یک آسیب‌پذیری بحرانی با شناسه CVE-2025-53786 قرار دارند. این نقص با امتیاز CVSS برابر با ۸.۰ به مهاجمانی که دسترسی ادمین به سرورهای Exchange محلی دارند، اجازه می‌دهد تا سطح دسترسی خود را در محیط Microsoft 365 متصل به آن ارتقاء دهند، بدون آنکه ردپای قابل‌توجهی در لاگ‌های امنیتی باقی بماند.
جزئیات آسیب‌پذیری
-
این نقص امنیتی در استقرارهای هیبرید Exchange Server رخ می‌دهد.
-
ریشه مشکل در استفاده از service principal مشترک بین Exchange محلی و Exchange Online برای احراز هویت است.
-
در صورت نفوذ به سرور on-premise، مهاجم می‌تواند از همین مسیر به محیط ابری سازمان (Microsoft 365) نفوذ کرده و امتیازات بالاتری کسب کند.
-
از نظر معماری، این وضعیت یک بردار حمله ارتقاء سطح دسترسی ایجاد می‌کند که شناسایی آن بسیار دشوار است.
کشف و اعلام عمومی
-
مایکروسافت این نقص را در ۶ آگوست ۲۰۲۵ به‌طور رسمی مستند کرد.
-
اکسپلویت آن توسط Dirk-Jan Mollema از Outsider Security در کنفرانس Black Hat به نمایش گذاشته شد.
-
CISA (آژانس امنیت سایبری ایالات متحده) این آسیب‌پذیری را دارای ریسک بالا و پیامدهای جدی برای امنیت سازمان‌ها توصیف کرده است.
آمار جهانی سیستم‌های آسیب‌پذیر
بر اساس داده‌های The Shadowserver Foundation، کشورهایی که بیشترین تعداد سرور آسیب‌پذیر را دارند عبارتند از:
-
ایالات متحده
-
آلمان
-
روسیه
واکنش اضطراری دولت آمریکا
-
در ۷ آگوست ۲۰۲۵، CISA «دستور اضطراری ۲۵-۰۲» صادر کرد که بر اساس آن تمام نهادهای فدرال آمریکا باید تا ۹ صبح (ET) روز دوشنبه ۱۱ آگوست این نقص را برطرف کنند.
-
به گفته Madhu Gottumukkala، مدیر موقت CISA:
«ما در حال انجام اقدام فوری برای کاهش این آسیب‌پذیری هستیم که ریسک غیرقابل‌قبولی برای سیستم‌های فدرال دارد.»
نحوه بهره‌برداری مهاجمان
-
اکسپلویت از توکن‌های دسترسی ویژه استفاده می‌کند که در ارتباط Exchange با Microsoft 365 به کار می‌روند.
-
مشکل: این توکن‌ها پس از سرقت به مدت ۲۴ ساعت معتبرند و امکان ابطال آن‌ها وجود ندارد.
-
به گفته Mollema:
«اگر کسی این توکن را داشته باشد، عملاً هیچ کاری از دست شما برای متوقف کردن آن برنمی‌آید.»
اقدامات فوری پیشنهادی
-
نصب به‌روزرسانی‌های امنیتی آوریل ۲۰۲۵ Exchange Server برای رفع نقص اصلی.
-
استفاده از برنامه‌های هیبرید اختصاصی Exchange به جای service principal مشترک.
-
حذف اعتبارنامه‌های service principal قدیمی و ناامن.
-
اعمال تغییرات پیکربندی در محیط هیبرید Exchange بر اساس راهنمای امنیتی مایکروسافت.
-
بازبینی و به‌روزرسانی سیاست‌های دسترسی مشروط (Conditional Access Policies) برای تقویت کنترل‌های احراز هویت.
برنامه آینده مایکروسافت
-
از ۱۸ آوریل ۲۰۲۵، مایکروسافت تغییرات امنیتی را برای انتقال به برنامه‌های هیبرید اختصاصی آغاز کرده است.
-
از ۳۱ اکتبر ۲۰۲۵، مایکروسافت به‌طور دائمی ترافیک EWS با service principal مشترک را مسدود کرده و آن را به معماری امن‌تر Graph API منتقل می‌کند.
یک نظر