ProxyNotShell, 2022 sonbaharında Microsoft Exchange sunucularında ortaya çıkan ve iki ayrı zafiyetin birlikte kullanılmasıyla işleyen bir saldırı zinciridir. CVE-2022-41040 kodlu sunucu taraflı istek sahteciliği (SSRF) ile CVE-2022-41082 kodlu uzaktan kod çalıştırma zafiyetini birleştirir. İsim, bir önceki yılın ünlü ProxyShell zincirine benzerliğinden gelir; farkı, sömürünün geçerli bir kullanıcı kimliği gerektirmesidir.

ProxyNotShell, Exchange’in Autodiscover uç noktasındaki bir SSRF zafiyetini PowerShell arka ucundaki bir kod çalıştırma zafiyetine zincirleyerek kimlik doğrulamalı bir saldırganı sunucuda komut çalıştırır hâle getiren saldırıdır.

Saldırı Zinciri Nasıl İşler?

Zincirin ilk halkası, Exchange’in Autodiscover bileşenindeki SSRF zafiyetidir. Saldırgan, geçerli bir posta kutusu hesabıyla oturum açtıktan sonra özenle hazırlanmış bir istekle sunucuyu, normalde dışarıya kapalı olan Remote PowerShell arayüzüne kendi adına istek yapmaya zorlar. İkinci halkada bu iç arayüz üzerinden gönderilen kötü amaçlı PowerShell yükü, deserialization kusuru sayesinde sunucu bağlamında çalışır ve saldırgan komut yürütme yeteneği kazanır.

Zincirin kimlik doğrulama şartı, riski tamamen ortadan kaldırmaz. Bir alan hesabının parolasının ele geçmesi, oltalama, Kimlik bilgisi doldurma gibi yöntemlerle sık yaşanan bir durumdur; tek bir düşük yetkili posta kutusu hesabı bile zinciri tetiklemek için yeterlidir. Bu nedenle zafiyet, internete açık Exchange sunucuları için ciddi bir tehdit olarak değerlendirildi.

Neden Yüksek Riskli?

Exchange sunucuları çoğu kurumda etki alanına derinlemesine entegre çalışır ve yüksek yetkili hizmet hesaplarıyla iş görür. Sunucuda komut çalıştırma yeteneği kazanan bir saldırgan, çoğu zaman web kabuğu yerleştirerek kalıcılık kurar, e-posta trafiğine erişir ve oradan iç ağa doğru yanal harekete geçer. İlk günlerde henüz kalıcı yama yayımlanmadığından Microsoft geçici azaltma kuralları önerdi; bu da doğru yapılandırılmış bir Zafiyet tarama programının internete bakan yüzeyi ne kadar hızlı görebildiğini kritik hâle getirdi.

Azaltma ve Savunma

Kalıcı çözüm, Microsoft’un yayımladığı güvenlik güncellemelerini uygulamak ve mümkünse Exchange’i güncel bir toplu güncelleme (CU) seviyesinde tutmaktır; bu da düzenli bir Yama yönetimi disiplini ister. Kalıcı yama öncesinde Autodiscover istek desenlerini engelleyen URL yeniden yazma kuralları ve Remote PowerShell erişiminin yönetici olmayan kullanıcılara kapatılması saldırı yüzeyini daraltır. Sunucularda oluşan yeni .aspx dosyaları ve olağandışı w3wp.exe alt süreçleri, Uç nokta güvenliği tarafında izlenmesi gereken güçlü belirtilerdir.

Bir Exchange sunucusunun sömürüldüğünden şüphelenildiğinde asıl soru, saldırganın web kabuğu bırakıp bırakmadığı ve iç ağda ne kadar ilerlediğidir. Privia Security’nin olay inceleme ve olay müdahalesi ekibi, sunucu günlüklerini ve dosya sistemini adli olarak inceleyerek saldırının kapsamını ve kalıcılık izlerini çıkarır.