Microsoft Exchange Server Elevation of Privilege Vulnerability

CVE-2024-21410 é uma falha de elevação de privilégio no Microsoft Exchange Server que permite a um atacante se autenticar como outro usuário através de captura e repasse (relay) de credenciais NTLM, sem necessidade de autenticação prévia. Está no catálogo KEV da CISA com exploração confirmada antes da divulgação pública, e o CVSS 9.8 reflete corretamente a gravidade: pré-autenticação, sem interação do usuário, comprometimento total de confidencialidade, integridade e disponibilidade se o servidor não tiver Extended Protection habilitado.

A CISA classifica a falha sob CWE-287 (Improper Authentication). O mecanismo documentado publicamente é de NTLM credential leak/relay: um cliente (por exemplo, Outlook) pode ser induzido a autenticar-se via NTLM contra um endpoint controlado pelo atacante, expondo o hash/challenge-response NTLM da vítima. Esse material capturado pode então ser repassado (relayed) para o próprio Exchange Server, que aceita a autenticação NTLM sem validar adequadamente a integridade do canal, permitindo que o atacante se autentique como o usuário cujas credenciais foram interceptadas.

O problema de fundo é a ausência de vinculação de canal (channel binding) na autenticação NTLM usada pelo Exchange em determinados endpoints. Sem essa vinculação — implementada via Extended Protection for Authentication (EPA) — uma sessão NTLM capturada em um contexto pode ser reutilizada em outro, quebrando a premissa de que a autenticação está atada à conexão original.

O vetor CVSS (AV:N/AC:L/PR:N/UI:N) indica que o atacante não precisa de credenciais prévias nem de interação da vítima para iniciar a cadeia, mas a exploração depende de conseguir posicionar-se para capturar ou coagir uma autenticação NTLM — isso normalmente exige alguma capacidade de interceptação de rede ou de induzir uma conexão a um recurso malicioso, não é um ataque puramente remoto e anônimo sem nenhum pré-requisito de posicionamento.

Na prática, o atacante precisa capturar uma sessão de autenticação NTLM de um usuário ou serviço com privilégios relevantes no ambiente — normalmente via técnicas de coerção de autenticação ou posicionamento na rede que forcem um alvo a se autenticar contra um endpoint controlado pelo atacante — e então repassar essa autenticação capturada para o Exchange Server vulnerável, sem contato prévio nem credenciais próprias. O resultado final é a capacidade de agir com os privilégios do usuário cuja sessão foi relayada, o que em ambientes de Exchange pode significar acesso a caixas de e-mail de outros usuários ou, dependendo do alvo capturado, escalação até privilégios administrativos no Exchange.

A CISA adicionou a CVE-2024-21410 ao catálogo KEV em 15/02/2024, com prazo de correção em 07/03/2024, confirmando exploração ativa antes ou logo após a divulgação. Microsoft classificou a vulnerabilidade internamente como já observada em exploração ('Exploitation Detected') no momento da publicação, o que difere do padrão de CVEs que só são exploradas depois de PoCs públicas surgirem — aqui a exploração no mundo real precedeu ou coincidiu com a correção.

A correção primária é aplicar a atualização de segurança de fevereiro de 2024 sobre as bases indicadas pelo fornecedor (Exchange Server 2016 CU23, Exchange Server 2019 CU13 e CU14). Segundo o fornecedor, a partir dessa atualização o Extended Protection for Authentication (EPA) passa a ser habilitado automaticamente em instalações elegíveis, e é essa configuração — não apenas o patch em si — que efetivamente neutraliza o vetor de relay NTLM ao vincular a autenticação ao canal de transporte.

Onde a atualização não pode ser aplicada imediatamente, o paliativo é confirmar e forçar manualmente a habilitação do EPA nos serviços web do Exchange (IIS), verificando a configuração com as ferramentas de diagnóstico do próprio produto (Health Checker). O custo real desse paliativo é compatibilidade: EPA pode quebrar cenários de autenticação legados ou integrações que dependem de NTLM sem channel binding, exigindo testes antes de forçar em produção.

Não funciona como mitigação apenas desabilitar NTLM parcialmente ou confiar em segmentação de rede sem tratar o EPA — como o vetor não exige acesso à rede interna do Exchange propriamente dito, mas sim captura de uma sessão NTLM em qualquer ponto que chegue ao servidor, controles perimetrais tradicionais não fecham a lacuna de autenticação.

Sinais a procurar incluem tentativas de autenticação NTLM anômalas nos logs do IIS/Exchange, especialmente autenticações originadas de endereços ou hosts fora do padrão esperado para o usuário associado, e falhas ou sucessos de autenticação que não correspondem à localização/dispositivo usual da conta. Não há uma assinatura de exploração simples e confiável documentada publicamente para esta CVE — a natureza de relay NTLM faz com que o tráfego malicioso se pareça com autenticação legítima do protocolo, dificultando detecção sem monitoramento comportamental de autenticação e sem Extended Protection habilitado como controle preventivo.