Microsoft Exchange Server Elevation of Privilege Vulnerability

CVE-2021-34523 é a peça central da cadeia ProxyShell contra o Microsoft Exchange Server: uma falha de autenticação (CWE-287) no componente PowerShell do backend que permite a um atacante já com acesso à interface interna do Exchange se passar por um usuário arbitrário, sem credenciais válidas. Isoladamente ela exige acesso local/de rede interna ao serviço PowerShell backend, mas combinada com o SSRF pré-autenticado CVE-2021-34473 (que expõe esse backend através do Client Access Service voltado à internet) a cadeia inteira se torna exploração remota não autenticada — o que explica por que ela foi maciçamente explorada em agosto de 2021, apesar do vetor CVSS oficial marcar AV:L.

A falha está no serviço PowerShell do Exchange, usado internamente para operações administrativas e de gerenciamento de caixas de correio. O backend confia em um token/cabeçalho de autenticação (relatado publicamente como o mecanismo de propagação de identidade entre o front-end CAS e o backend, via cabeçalho do tipo X-Rps-CAT) sem validar corretamente se aquele token corresponde a uma sessão legitimamente autenticada. A ZDI descreve isso como 'lack of proper validation of an access token prior to executing the Exchange PowerShell command' — ou seja, o serviço executa comandos PowerShell no contexto de um usuário informado pelo próprio requisitante, sem confirmar que esse requisitante de fato passou pela autenticação esperada.

O efeito prático é elevação de privilégio: um atacante que consiga entregar uma requisição a esse endpoint PowerShell backend pode fazer o serviço agir como se fosse outro usuário — incluindo contas com privilégios administrativos — e a partir daí executar cmdlets do Exchange Management Shell no contexto de SYSTEM, dependendo de qual conta é impersonada.

Essa vulnerabilidade não é exploravel isoladamente contra a internet: o serviço PowerShell backend normalmente não é diretamente exposto. É aqui que entra o resto da cadeia ProxyShell — CVE-2021-34473 (SSRF pré-autenticado no CAS, que permite a um atacante externo, sem login, encaminhar requisições ao backend interno) fornece o acesso de rede necessário para alcançar o componente vulnerável descrito nesta CVE. Depois de obter a impersonação, a cadeia normalmente segue para CVE-2021-31207, que permite escrever um arquivo arbitrário (webshell) no servidor, completando o comprometimento total.

O CVSS 9.0 (AV:L/AC:L/PR:N/UI:N) refletido nos dados atribuídos pela NVD/MSRC assume o componente isolado, alcançável apenas localmente. O CVSS 9.8 (AV:N/AC:L/PR:N/UI:N) publicado pela ZDI reflete o cenário real de exploração encadeada, onde o SSRF elimina a necessidade de acesso de rede interna.

A cadeia completa (ProxyShell) foi descoberta e reportada por Orange Tsai (orangetw), da DEVCORE, no Pwn2Own de abril de 2021, e reportada ao fornecedor em 2021-04-07 conforme timeline da ZDI. Detalhes técnicos completos só se tornaram públicos em julho/agosto de 2021 (Black Hat/DEF CON), e a partir daí houve varredura e exploração em massa contra servidores Exchange expostos à internet — a CISA confirmou exploração ativa e incluiu a CVE no catálogo KEV em 2021-11-03, com prazo de correção definido para 2021-11-17.

Na prática, um atacante explora a cadeia enviando requisições HTTP ao endpoint de Autodiscover/EWS do Exchange front-end, abusando do SSRF (CVE-2021-34473) para forçar o servidor a se conectar ao próprio backend PowerShell interno. Isso alcança o ponto vulnerável descrito nesta CVE, onde o atacante consegue impersonar uma conta arbitrária sem fornecer senha válida. Nenhuma interação do usuário é necessária, e o processo é automatizável — existem módulo Metasploit e PoCs públicas, o que baixou drasticamente a barreira técnica.

O resultado final típico observado em campanhas reais é a escrita de webshells (via CVE-2021-31207) em diretórios acessíveis pela web, dando execução remota de código persistente com privilégios de SYSTEM. A partir daí seguem movimentação lateral, exfiltração de e-mail e, em vários casos documentados publicamente, implantação de ransomware e cryptominers em servidores Exchange comprometidos.

A recomendação do fornecedor, refletida na entrada da CISA KEV, é 'Apply updates per vendor instructions' — ou seja, aplicar as atualizações cumulativas e de segurança da Microsoft correspondentes à versão instalada. Não há uma versão de correção isolada anunciada apenas para CVE-2021-34523: a Microsoft corrigiu a cadeia ProxyShell através dos Cumulative Updates/Security Updates lançados após as builds listadas como afetadas (Exchange 2013 CU23; Exchange 2016 CU19 e CU20; Exchange 2019 CU8 e CU9). Quem está em qualquer uma dessas CUs sem o Security Update subsequente aplicado está vulnerável; a orientação prática é aplicar a CU mais recente disponível para a versão em uso, seguida do Security Update de segurança mais atual da Microsoft.

Se a atualização imediata não for viável, não existe paliativo de configuração que neutralize esta CVE isoladamente, porque a falha está na lógica interna de validação de token do serviço PowerShell — não há flag documentada para desativá-la sem quebrar funcionalidade administrativa do Exchange. O controle compensatório real é reduzir a superfície de exposição da cadeia inteira: restringir o acesso à internet aos endpoints de front-end do Exchange (Autodiscover, EWS, ECP, OWA) por meio de filtragem de rede/WAF até a atualização ser aplicada, e monitorar/isolar a rede interna que hospeda o backend PowerShell.

Um mito recorrente é achar que aplicar apenas o patch de uma das três CVEs da cadeia ProxyShell resolve o problema: como CVE-2021-34523, CVE-2021-34473 e CVE-2021-31207 são exploradas em sequência, a mitigação completa exige os patches para toda a cadeia, não apenas para esta CVE.

Não há, nas fontes consultadas, indicadores de comprometimento específicos e verificados para esta CVE isolada — os sinais publicamente conhecidos são da cadeia ProxyShell como um todo: requisições anômalas a endpoints de Autodiscover/EWS partindo de origens não usuais, presença de webshells em diretórios web do Exchange (achado comum em campanhas reais documentadas após a exploração de 2021), e picos de atividade do serviço PowerShell backend fora do padrão administrativo esperado. Ambientes sem patch e com CAS exposto à internet devem ser tratados como potencialmente comprometidos desde agosto de 2021, dada a escala documentada de exploração em massa após a divulgação pública.