Una nuova Vulnerabilità critica scoperta in Microsoft Exchange Server: il CISA Avverte

Redazione RHC : 7 Agosto 2025 07:54

Una falla critica di sicurezza è stata individuata nelle distribuzioni ibride di Microsoft Exchange Server. Questa vulnerabilità (CWE-287) permette agli aggressori con accesso amministrativo locale di ampliare i loro privilegi all’interno di ambienti cloud.

Sebbene la complessità dell’attacco è considerata elevata, richiedendo agli aggressori di disporre innanzitutto di accesso amministrativo su un server Exchange. Tuttavia, una volta soddisfatto questo prerequisito, la classificazione della vulnerabilità indica che lo sfruttamento può interessare risorse diverse da quelle del componente inizialmente compromesso

Si tratta del CVE-2025-53786, la quale è stata ufficialmente documentata da Microsoft il 6 agosto 2025, in seguito alla dimostrazione di un ricercatore alla conferenza sulla sicurezza informatica Black Hat.

Christmas Sale -40% 𝗖𝗵𝗿𝗶𝘀𝘁𝗺𝗮𝘀 𝗦𝗮𝗹𝗲! Sconto del 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮 del Corso "Dark Web & Cyber Threat Intelligence" in modalità E-Learning sulla nostra Academy!🚀 Fino al 𝟯𝟭 𝗱𝗶 𝗗𝗶𝗰𝗲𝗺𝗯𝗿𝗲, prezzi pazzi alla Red Hot Cyber Academy. 𝗧𝘂𝘁𝘁𝗶 𝗶 𝗰𝗼𝗿𝘀𝗶 𝘀𝗰𝗼𝗻𝘁𝗮𝘁𝗶 𝗱𝗲𝗹 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮. Per beneficiare della promo sconto Christmas Sale, scrivici ad [email protected] o contattaci su Whatsapp al numero di telefono: 379 163 8765. Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

Il ricercatore di sicurezza Dirk-Jan Mollema di Outsider Security ha presentato tecniche di sfruttamento dettagliate al Black Hat 2025, dimostrando come gli aggressori possono sfruttare questa configurazione per modificare le password degli utenti, convertire gli utenti cloud in utenti ibridi e impersonare utenti ibridi.

La vulnerabilità deriva dall’architettura di distribuzione ibrida di Exchange di Microsoft, che tradizionalmente utilizzava un principio di servizio condiviso tra i server Exchange locali ed Exchange Online per l’autenticazione.

“Questi token sono validi fondamentalmente per 24 ore. Non è possibile revocarli. Quindi, se qualcuno li possiede, non c’è assolutamente nulla che si possa fare dal punto di vista difensivo”, ha spiegato Mollema durante la sua presentazione.

La vulnerabilità sfrutta token di accesso speciali utilizzati per la comunicazione del server Exchange con Microsoft 365, che non possono essere annullati una volta rubati, offrendo agli aggressori fino a 24 ore di accesso non controllato. La Cybersecurity and Infrastructure Security Agency (CISA) ha valutato questa vulnerabilità come di elevata gravità, con implicazioni significative per la sicurezza aziendale.

Secondo l’avviso della CISA, la vulnerabilità “consente a un autore di minacce informatiche con accesso amministrativo a un server Microsoft Exchange locale di aumentare i privilegi sfruttando configurazioni ibride vulnerabili”. Se non si interviene, il difetto potrebbe avere ripercussioni sull’integrità dell’identità del servizio Exchange Online di un’organizzazione.

La documentazione ufficiale di Microsoft spiega che in precedenza Exchange Server utilizzava “un servizio principale condiviso con la stessa applicazione di Exchange Online” per funzionalità ibride come la condivisione del calendario e le immagini del profilo utente. La vulnerabilità consente scenari di attacco sofisticati in cui gli avversari con accesso amministrativo iniziale ai server Exchange locali possono aumentare i privilegi all’interno di ambienti cloud connessi..

Questa caratteristica lo rende particolarmente pericoloso per le organizzazioni con distribuzioni Exchange ibride, poiché un singolo server locale compromesso potrebbe fornire un accesso cloud esteso.

Microsoft ha dichiarato che non è stato osservato alcuno sfruttamento della vulnerabilità alla data dell’annuncio, sebbene i ricercatori di sicurezza abbiano dimostrato attacchi proof-of-concept.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli