[MaJ] تنبيه امني متعدد Microsoft Exchange

محتويات التنبيه:

– جدول معلومات

– المخاطر

– الأنظمة المثأثرة

– ملخص حول الثغرة

– الحلول

– المصادر

• Exécution de code arbitraire à distance
• Injection de requêtes forgées côté serveur (Server-side request forgery)

• Microsoft Exchange Serveur 2013 toutes versions
• Microsoft Exchange Serveur 2016 toutes versions
• Microsoft Exchange Serveur 2019 toutes versions

[Mise à jour du 09 novembre 2022] L’éditeur a publié un correctif (cf. section solution).

En date du 29 septembre 2022, Microsoft a indiqué l’existence de deux vulnérabilités, de type zéro-jour, au sein de Windows Exchange 2013, 2016 et 2019.

• CVE-2022-41040 : Vulnérabilité de type injection de requêtes forgées côté serveur (Server Side Request Forgery, SSRF) exploitable par un attaquant authentifié ;
• CVE-2022-41082 : Vulnérabilité permettant à un attaquant authentifié d’exécuter du code arbitraire à distance.