Exchange Server zafiyet zincirleri, Microsoft’un şirket içi e-posta sunucusundaki birbirini tamamlayan birden çok zafiyetin sırayla sömürülerek kimliği doğrulanmamış bir saldırganın sunucuda en yüksek yetkiyle komut çalıştırmasına kadar giden saldırı kalıplarıdır. Tek bir hata çoğu zaman sınırlı bir etki üretir; asıl tehlike, bu hataların ardışık kullanıldığında savunmadaki katmanları tek tek devre dışı bırakmasıdır.

Zincirin her halkası bir sonrakinin önünü açar: kimlik doğrulama atlatması bir dosya yazma zafiyetiyle, o da kod çalıştırmayla birleştiğinde sunucu bütünüyle saldırganın eline geçer.

ProxyLogon ve ProxyShell: İki Dönüm Noktası

2021’de açıklanan ProxyLogon, sunucu tarafı istek sahteciliği (SSRF) ile kimlik doğrulamayı atlatıp ardından bir yazma zafiyetiyle sunucuya web shell bırakılmasına imkan verdi. Aynı yıl ortaya çıkan ProxyShell, Autodiscover ve PowerShell uç noktalarındaki üç ayrı hatayı birleştirerek benzer sonuca farklı bir yoldan ulaştı. Her iki örnekte de tek tek zafiyetler orta seviyede görünürken, birleşimleri kritik dereceye tırmandı ve dünya çapında on binlerce sunucu haftalar içinde tarandı.

Zincir Nasıl Kurulur?

Saldırı tipik olarak internete açık Outlook Web Access ya da Autodiscover uç noktasına gönderilen özel hazırlanmış bir istekle başlar. İlk zafiyet saldırganı yetkili bir kullanıcı gibi gösterir, ikincisi dosya sistemine .aspx uzantılı bir arka kapı yazar, üçüncüsü de bu arka kapı üzerinden işletim sistemi komutları yürütür. Bu noktadan sonra posta kutuları okunabilir, bellekten kimlik bilgisi toplanabilir ve ağ içinde yatay harekete geçilebilir.

Sunucu Neden Bu Kadar Değerli Bir Hedef?

Exchange sunucusu, dizin üzerinde geniş yazma haklarıyla kurulduğu için ele geçirilmesi çoğu zaman tüm ormanın riske girmesi anlamına gelir; bu yüzden Active Directory güvenliği ile Exchange güvenliği ayrı düşünülemez. Sunucuda çalışan bir arka kapı, alan yöneticisi düzeyine tırmanmak isteyen saldırgan için ideal bir sıçrama tahtasıdır ve fidye yazılımı operasyonlarının başlangıç noktası hâline gelir.

Tespit ve Savunma

İlk ve en etkili önlem, üreticinin yayınladığı güncellemelerin gecikmeden uygulanmasıdır; disiplinli bir Yama yönetimi süreci, açıklanan zincirlerin çoğunu tetiklenmeden kapatır. Dışa dönük yüzeyi düzenli Zafiyet tarama ile izlemek, gözden kaçan eski sürümlerin ve yanlış yapılandırmaların erken fark edilmesini sağlar. Sunucu loglarında beklenmedik .aspx dosyaları ve olağan dışı PowerShell çağrıları, çoğunlukla zincirin ilk izleridir.

• IIS dizinlerinde tanınmayan veya son zamanlarda oluşturulmuş web shell dosyaları
• ECP ve Autodiscover günlüklerinde kimlik doğrulaması olmadan tamamlanmış istekler
• Exchange süreçlerinden başlatılan cmd.exe ve powershell.exe çağrıları
• Posta kutusu dışa aktarma isteklerinde ani artış

Bir zincirin tetiklendiğinden şüphe ediliyorsa, tek başına yama uygulamak yeterli değildir; saldırgan çoktan kalıcılık sağlamış olabilir. Bu durumda arka kapıların temizlenmesi, ele geçirilen kimlik bilgilerinin sıfırlanması ve saldırganın izlediği yolun çıkarılması için olay inceleme ve olay müdahalesi çalışması yürütmek, olayın sınırlarını doğru belirlemenin tek yoludur.