Microsoft Exchange Server Elevation of Privilege Vulnerability

Falha de elevação de privilégio no Microsoft Exchange Server que exige autenticação prévia (PR:L) mas nenhuma interação do usuário, e que, encadeada com a CVE-2022-41082, resulta em execução remota de código no servidor. Está no catálogo KEV da CISA por exploração confirmada em ambiente real, associada à cadeia de ataque conhecida como OWASSRF, que contorna as mitigações de URL Rewrite publicadas para o caso anterior ProxyNotShell.

A Microsoft classifica a falha como elevação de privilégio e não publicou detalhes do componente interno afetado — a descrição oficial é genérica ('unspecified vulnerability'). O vetor CVSS (AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H) indica que o atacante precisa de credenciais válidas de baixo privilégio (uma conta de caixa de correio comum já basta), acessa o serviço pela rede sem interação de usuário, e o impacto de confidencialidade, integridade e disponibilidade é total — compatível com um caminho que leva a controle do servidor, não apenas leitura de dados.

A CISA registra explicitamente que esta CVE é 'chainable' com a CVE-2022-41082, que por si só permite execução remota de código. Pesquisadores da indústria (CrowdStrike foi quem publicou a análise mais citada) documentaram que a exploração real usa o backend de Remote PowerShell do Exchange, acessado através do Outlook Web App (OWA), como caminho para acionar a deserialização insegura já conhecida da família ProxyNotShell (CVE-2022-41040/CVE-2022-41082, de setembro de 2022). A CVE-2022-41080 seria o passo de elevação de privilégio que, combinado a esse acesso, viabiliza a execução de código com privilégios de sistema.

O ponto crítico é que a Microsoft nunca detalhou publicamente o mecanismo exato da EoP em si — o entendimento técnico disponível vem majoritariamente de pesquisa de terceiros, não do advisory oficial.

Pré-requisito real: o atacante precisa de credenciais válidas de um usuário do Exchange (PR:L), o que descarta ataque anônimo direto pela internet. Uma vez autenticado, o atacante usa a falha de EoP para escalar privilégios e, encadeando com CVE-2022-41082, alcança execução remota de código no servidor Exchange.

A exploração documentada por pesquisadores em dezembro de 2022 — a cadeia apelidada de OWASSRF — usa a porta 443 do Outlook Web App como vetor de acesso ao Remote PowerShell, especificamente para contornar as regras de URL Rewrite que a Microsoft havia recomendado como mitigação temporária para o ProxyNotShell original. Isso é relevante porque organizações que aplicaram apenas aquela mitigação (sem atualizar o Exchange) continuaram expostas por essa rota alternativa.

A CISA adicionou a CVE ao catálogo KEV em 10/01/2023, com prazo de correção definido para 31/01/2023, confirmando exploração ativa observada. O campo do KEV sobre uso em campanhas de ransomware não traz confirmação afirmativa direta na entrada consultada — não há base para afirmar vínculo com ransomware específico a partir das fontes disponíveis.

A correção definitiva é aplicar a atualização de segurança de novembro de 2022 sobre as Cumulative Updates listadas (Exchange 2013 CU23; 2016 CU22 e CU23; 2019 CU11 e CU12). Não apuramos os números exatos de KB dessa atualização nas fontes disponíveis — confirme no MSRC oficial antes de aplicar, para garantir a build correta por CU.

Mito a descartar: as regras de mitigação por URL Rewrite publicadas para o ProxyNotShell (CVE-2022-41040/41082 de setembro de 2022) NÃO bloqueiam esta cadeia de exploração, porque o caminho via OWA/Remote PowerShell documentado por pesquisadores contorna exatamente esse filtro. Organizações que dependem só dessa mitigação seguem vulneráveis mesmo tendo 'corrigido' o ProxyNotShell original.

Como controle compensatório quando a atualização não é imediata: restringir ou monitorar de perto o acesso ao Outlook Web App e ao Remote PowerShell, reduzir contas com privilégios amplos no Exchange e revisar autenticação multifator para reduzir o impacto do pré-requisito de credencial válida — mas isso é mitigação parcial, não substitui o patch.

Monitorar logs de acesso ao Outlook Web App (OWA) e ao endpoint de Remote PowerShell por padrões anômalos de autenticação seguidos de atividade de PowerShell remoto fora do horário ou perfil usual da conta — esse foi o vetor relatado por pesquisadores na cadeia OWASSRF. Não há assinatura única e confiável divulgada publicamente pela Microsoft para esta CVE isoladamente; a detecção prática depende de correlacionar logs de IIS/OWA com atividade de PowerShell no servidor Exchange, e de indicadores de comprometimento publicados por quem analisou a exploração em campo.