Microsoft Exchange Remote Code Execution Vulnerability

Falha de deserialização insegura (CWE-502) no Microsoft Exchange Server 2010, decorrente da validação inadequada de argumentos passados a cmdlets do PowerShell/Exchange Management Shell. Um atacante autenticado com privilégios elevados que consiga fazer o servidor processar argumentos de cmdlet manipulados pode executar código remotamente. Está no catálogo KEV da CISA como exploração confirmada, mas o vetor CVSS (PR:H, UI:R) deixa claro que não é um RCE pré-autenticação trivial — é bem mais restrito do que o nome sugere.

A causa raiz é CWE-502 (Deserialization of Untrusted Data): o Exchange Server 2010 não valida corretamente os argumentos fornecidos a determinados cmdlets antes de processá-los. Cmdlets do Exchange Management Shell/PowerShell remoto aceitam objetos serializados como parte de seus argumentos; quando esses dados não são sanitizados antes da desserialização, um argumento malicioso pode instanciar objetos arbitrários e desviar o fluxo de execução para código controlado pelo atacante.

O vetor CVSS (AV:N/AC:L/PR:H/UI:R/S:C) indica: ataque de rede, baixa complexidade técnica de exploração uma vez que as condições estejam satisfeitas, mas exige privilégios altos (PR:H) — ou seja, o atacante já precisa estar autenticado com um nível de acesso elevado, não uma conta de usuário comum — e interação do usuário (UI:R), sugerindo que a cadeia de exploração depende de uma ação adicional (como um administrador ou processo automatizado executando/aceitando o cmdlet malicioso). O impacto pleno em confidencialidade, integridade e disponibilidade (C:H/I:H/A:H) e a mudança de escopo (S:C) mostram que o código executa fora do contexto original, plausivelmente com privilégios de sistema no servidor Exchange.

A vulnerabilidade afeta especificamente o Exchange Server 2010, produto que já estava fora do ciclo de suporte estendido em várias linhas quando o patch foi lançado — o que a torna relevante sobretudo para organizações que mantiveram instâncias legadas em produção.

Explorar esta falha exige que o atacante já possua credenciais válidas com privilégios elevados no ambiente Exchange — não é um RCE anônimo direto pela internet. A partir daí, o atacante submete argumentos de cmdlet manipulados que o servidor desserializa sem validação suficiente, obtendo execução de código no contexto do serviço Exchange. O requisito de interação do usuário (UI:R) no vetor CVSS reforça que a cadeia completa provavelmente depende de uma etapa adicional além do simples envio de credenciais — por exemplo, um cmdlet sendo processado por um componente administrativo ou automatizado.

Existe PoC pública e a CVE está confirmada no catálogo KEV da CISA (adicionada em novembro de 2021, com prazo de correção em maio de 2022), o que indica exploração ativa documentada, ainda que a CISA não classifique a falha como associada a campanhas de ransomware conhecidas até a data de inclusão. Por exigir pré-condições de autenticação e privilégio, o risco prático concentra-se em cenários onde credenciais administrativas ou de operador do Exchange já foram comprometidas por outro vetor (phishing, credential stuffing, outra vulnerabilidade encadeada) — o que é um padrão comum em intrusões que combinam múltiplas CVEs de Exchange do mesmo período.

O resultado final da exploração é execução de código arbitrário no servidor Exchange, o que normalmente se traduz em controle total da caixa (leitura de e-mails, movimentação lateral no domínio via Exchange, persistência) dado o nível de integração do Exchange com o Active Directory.

A correção definitiva é aplicar a atualização de segurança da Microsoft para Exchange Server 2010 referente a esta CVE, publicada no boletim de dezembro de 2020. O advisory oficial (MSRC) lista o KB e o nível de Update Rollup específico que corrige a falha para a linha SP3 — consulte diretamente essa página, pois não há confirmação nas fontes utilizadas aqui sobre o número exato do rollup corretivo.

Como Exchange Server 2010 está fora do ciclo de suporte mainstream há anos, aplicar a atualização pode não ser suficiente por si só se o produto já não recebe mais patches de segurança nessa linha — nesse caso a mitigação real de fundo é migrar para uma versão suportada do Exchange (ou para um serviço de e-mail hospedado), já que patches pontuais não cobrem vulnerabilidades futuras na mesma base de código legada.

Como controle compensatório imediato, restrinja e monitore rigorosamente quem tem privilégios administrativos/elevados sobre o Exchange Management Shell e sobre a interface de gerenciamento remoto de PowerShell, já que a exploração depende de acesso privilegiado prévio. Segmentar e limitar o acesso de rede aos endpoints de gerenciamento do Exchange (RPC/PowerShell remoto) a hosts administrativos conhecidos reduz a superfície, mas não substitui o patch — não há mitigação de configuração que neutralize completamente uma falha de desserialização no código do servidor.

Não há um IOC de rede genérico e confiável documentado nas fontes consultadas para esta CVE específica, dado que a exploração ocorre via cmdlets do Exchange Management Shell/PowerShell remoto já autenticado — logs de auditoria do Exchange (Exchange Admin Audit Log) e logs de execução de cmdlets do PowerShell remoto são o ponto de partida mais razoável para procurar argumentos anômalos ou cmdlets executados fora do padrão operacional normal por contas privilegiadas.

Correlacionar picos de uso de cmdlets administrativos por contas específicas, especialmente fora de janelas de manutenção, e revisar logs de autenticação para essas mesmas contas antes do evento, é a abordagem prática na ausência de assinatura pública conhecida para esta falha.