HAFNIUM Exchange Server 漏洞利用
2021 年 3 月，与中国有关联的 HAFNIUM 组织利用四个 Microsoft Exchange Server 零日漏洞（CVE-2021-26855 及相关漏洞），针对本地部署的电子邮件基础设施发起攻击。
来源归属
- 来源类型
- Vendor advisory
- 来源
- Microsoft · CISA
- 置信度
- high
Source: Microsoft · CISA · Confidence: high
安全时间线
- exploited 攻击活动开始针对 Exchange 邮箱（约）
- published Microsoft 披露 HAFNIUM 及四个零日漏洞
- patched 发布带外 Exchange Server 更新；CISA 发布紧急指令 21-02
快速解答
2021 年 3 月，与中国有关联的 HAFNIUM 行为者串联利用四个 Microsoft Exchange Server 零日漏洞（ProxyLogon，CVE-2021-26855 及相关漏洞），在全球数万台本地部署邮件服务器上部署 Webshell。
定义
利用 Exchange Server 的 SSRF 以及不当授权/反序列化漏洞（CVE-2021-26855/26856/27065/26857，ProxyLogon）以 SYSTEM 身份进行认证，并写入 Webshell 以实现对邮箱的持久访问。
暴露于互联网的管理界面的本地部署基础设施仍是首要目标；应将热补丁周期和 Webshell 检测视为强制性控制措施。