Microsoft Exchange Server Remote Code Execution Vulnerability

CVE-2021-31196 é uma vulnerabilidade de execução remota de código no Microsoft Exchange Server, corrigida no Patch Tuesday de julho de 2021 junto com outras falhas relacionadas ao Exchange. O vetor CVSS exige privilégios altos (PR:H) para exploração, o que reduz o risco em relação ao que a manchete 'RCE' sugere — não é um ataque anônimo pela internet. A CISA a incluiu no catálogo KEV em agosto de 2024, confirmando exploração ativa, mas classificando-a internamente como uma falha de divulgação de informação que permite RCE, divergindo levemente do título oficial da Microsoft.

A Microsoft classificou a falha como execução remota de código no Exchange Server, mas a nota da CISA no catálogo KEV a descreve como uma vulnerabilidade de divulgação de informação (information disclosure) que permite RCE — uma diferença de nomenclatura entre fornecedor e CISA que não encontramos detalhada em análise técnica pública com CWE específico, tipo de componente vulnerável (parser, EWS, backend PowerShell etc.) ou fluxo de dados exato.

O vetor CVSS (AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H) indica que o ataque ocorre pela rede, com baixa complexidade técnica, sem interação do usuário, mas exigindo privilégios altos do atacante — ou seja, o atacante já precisa ter acesso autenticado privilegiado ao servidor ou à infraestrutura Exchange antes de acionar a falha. Isso é consistente com o padrão de várias CVEs do lote de julho de 2021 do Exchange, que em conjunto formavam cadeias de exploração pós-autenticação.

Não há, nas fontes disponíveis, detalhamento do componente de código exato (por exemplo, ECP, OWA, EWS ou um cmdlet específico do PowerShell) nem do CWE oficial atribuído. Qualquer afirmação sobre o mecanismo interno além do que consta no vetor CVSS seria especulação, e por isso não a fazemos aqui.

Pelo vetor CVSS, a exploração exige que o atacante já possua privilégios altos (PR:H) na organização — tipicamente uma conta com direitos administrativos ou de gerenciamento sobre o Exchange, não um usuário anônimo ou um usuário de caixa de correio comum. Com esse acesso, o ataque tem complexidade baixa (AC:L) e não depende de interação da vítima (UI:N), resultando em comprometimento total de confidencialidade, integridade e disponibilidade caso bem-sucedido.

A CISA confirma exploração ativa ao incluir a CVE no catálogo KEV (adicionada em 21/08/2024, com prazo de mitigação até 11/09/2024), mas não há indicação, nas fontes lidas, de que seja usada em campanhas de ransomware ('Known To Be Used in Ransomware Campaigns: Unknown'). Não há detalhes públicos sobre o vetor de entrega inicial (phishing, exploração de outra falha para obter as credenciais privilegiadas, abuso de configuração de delegação etc.).

Dado o pré-requisito de privilégio alto, o cenário mais provável de exploração é como etapa de escalonamento dentro de uma intrusão já em andamento — não como ponto de entrada inicial em um servidor Exchange exposto à internet sem credenciais.

A correção é a atualização de segurança de julho de 2021 aplicada sobre as Cumulative Updates listadas como afetadas (Exchange 2013 CU23; Exchange 2016 CU20 e CU21; Exchange 2019 CU9 e CU10). Não há, nas fontes disponíveis, o número de KB da atualização de segurança específica nem confirmação de qual CU subsequente já incorpora a correção — para aplicar o patch corretamente é necessário consultar o Security Update Guide da Microsoft para essa CVE e confirmar a build exata antes de agir, em vez de assumir uma versão.

Como o pré-requisito de exploração é privilégio alto, um controle compensatório de custo real é reduzir o número de contas com direitos administrativos sobre o Exchange e reforçar autenticação multifator para essas contas privilegiadas, o que corta a via de acesso necessária para o ataque mesmo sem o patch. Isso não substitui a atualização, mas reduz a superfície de exploração enquanto o patch não é aplicado.

Não existe mitigação via WAF eficaz aqui, porque a falha depende de acesso privilegiado interno/autenticado, não de payload HTTP manipulável externamente sem credenciais — filtrar tráfego de borda não resolve o problema.

Não há, nas fontes disponíveis, indicadores de comprometimento (IOCs), assinaturas de log ou padrões de tráfego publicados especificamente para CVE-2021-31196. Dado que a exploração exige acesso já autenticado com privilégios altos, o sinal mais relevante a monitorar é atividade anômala de contas administrativas do Exchange (logins fora do padrão, uso de cmdlets do EMS/PowerShell remoto por contas privilegiadas em horários ou origens atípicas) e alterações não planejadas em configurações do servidor — mas isso é orientação geral de monitoramento pós-autenticação, não detecção específica confirmada para esta CVE.