Microsoft Exchange Server Remote Code Execution Vulnerability

CVE-2021-26858 é uma vulnerabilidade de escrita arbitrária de arquivo pós-autenticação no Microsoft Exchange Server, parte da cadeia de exploração conhecida como ProxyLogon. Isoladamente exige autenticação, mas na cadeia completa é usada após o SSRF pré-autenticação (CVE-2021-26855) para gravar um webshell no disco e obter execução remota de código com privilégios de SYSTEM. A gravidade real do incidente veio da combinação das quatro CVEs, não desta falha isolada — e por isso está no catálogo KEV da CISA com exploração massiva confirmada em março de 2021.

A falha reside no componente de acesso ao Exchange Control Panel (ECP) do servidor. Um usuário já autenticado consegue abusar de uma rotina interna para escrever arquivos em caminhos arbitrários do sistema de arquivos, contornando as restrições que deveriam limitar a gravação a diretórios controlados. Classifica-se como escrita arbitrária de arquivo (CWE-434 relacionado a upload/gravação irrestrita), e o atacante controla tanto o conteúdo quanto, em boa medida, o destino do arquivo gravado — o que permite depositar um script ASPX (webshell) em um diretório servido pelo IIS.

O vetor CVSS publicado (AV:L/PR:N/UI:R) reflete que, tomada isoladamente, a exploração ocorre no contexto de uma sessão já estabelecida no serviço — ou seja, pressupõe que o atacante já tenha acesso autenticado (ou equivalente) ao componente ECP. Na campanha real observada em fevereiro/março de 2021, essa pré-condição foi eliminada: o grupo identificado pela Microsoft como Hafnium encadeava primeiro o SSRF pré-autenticação CVE-2021-26855 para forjar uma sessão administrativa arbitrária no servidor, e então usava CVE-2021-26858 (ou sua irmã pós-autenticação CVE-2021-27065) para gravar o webshell malicioso, alcançando execução de código completa sem nenhuma credencial válida legítima.

A correção definitiva é aplicar as atualizações de segurança da Microsoft de 2 de março de 2021 (e cumulative updates subsequentes) para as versões afetadas de Exchange Server 2013, 2016 e 2019. A Microsoft também disponibilizou uma ferramenta de mitigação interina (Exchange On-premises Mitigation Tool) para ambientes que não conseguiam patchear imediatamente, e um script de verificação de comprometimento (Test-ProxyLogon.ps1) para identificar exploração já ocorrida — nenhum dos dois substitui o patch. Servidores expostos à internet sem atualização devem ser tratados como potencialmente comprometidos: aplicar apenas o patch em um servidor já explorado não remove webshells ou backdoors deixados antes da correção, é preciso varredura de indicadores de comprometimento e, em muitos casos, reconstrução.

A exploração da cadeia ProxyLogon deixa rastros característicos: entradas de log do IIS/HttpProxy no Exchange com requisições anômalas para endpoints do ECP e OWA seguidas da criação de arquivos .aspx incomuns em diretórios web do servidor (indicativos de webshell). A Microsoft publicou, na época, indicadores de comprometimento associados ao grupo Hafnium e um script de verificação (Test-ProxyLogon.ps1) que checa logs do CAS/ECP em busca de padrões de exploração retroativos. Ausência desses indicadores não garante que o servidor não foi comprometido antes do patch, já que a exploração massiva ocorreu por múltiplos grupos com técnicas variadas após a divulgação pública.