Microsoft ha publicado un aviso sobre una vulnerabilidad de seguridad de alta gravedad que afecta a las versiones locales de Exchange Server y que podría permitir a un atacante obtener privilegios elevados en determinadas condiciones.
La vulnerabilidad, identificada como CVE-2025-53786, tiene una puntuación CVSS de 8,0. Dirk-jan Mollema, de Outsider Security, ha sido reconocido por informar del error.
"En una implementación híbrida de Exchange, un atacante que primero obtenga acceso administrativo a un servidor Exchange local podría escalar privilegios dentro del entorno de nube conectado de la organización sin dejar rastros fácilmente detectables y auditables", afirmó el gigante tecnológico en la alerta.
"Este riesgo surge porque Exchange Server y Exchange Online comparten la misma entidad de servicio en configuraciones híbridas".
La explotación exitosa de la falla podría permitir a un atacante escalar privilegios dentro del entorno de nube conectado de la organización sin dejar rastros fácilmente detectables y auditables, agregó la empresa. Sin embargo, el ataque depende de que el actor malicioso ya tenga acceso de administrador a un servidor Exchange.
La Agencia de Seguridad Cibernética y de Infraestructuras de Estados Unidos (CISA), en un boletín propio, afirmó que la vulnerabilidad podría afectar a la integridad de la identidad del servicio Exchange Online de una organización si no se corrige.
Como medidas de mitigación, se recomienda a los clientes que revisen los cambios de seguridad de Exchange Server para implementaciones híbridas, instalen la revisión de abril de 2025 (o una más reciente) y sigan las instrucciones de configuración.
"Si anteriormente ha configurado la autenticación híbrida de Exchange o OAuth entre Exchange Server y su organización de Exchange Online, pero ya no la utiliza, asegúrese de restablecer las credenciales clave del principal del servicio", afirmó Microsoft.
En una presentación en la conferencia de seguridad Black Hat USA 2025, Mollema afirmó que las versiones locales de Exchange Server tienen una credencial de certificado que se utiliza para autenticarse en Exchange Online y permitir OAuth en escenarios híbridos.
Estos certificados se pueden aprovechar para solicitar tokens de actor de servicio a servicio (S2S) al Servicio de control de acceso (ACS) de Microsoft, lo que en última instancia proporciona un acceso sin restricciones a Exchange Online y SharePoint sin ningún acceso condicional ni controles de seguridad.
Más importante aún, estos tokens pueden utilizarse para suplantar a cualquier usuario híbrido dentro del inquilino durante un periodo de 24 horas cuando se establece la propiedad "trustedfordelegation", y no dejan ningún registro cuando se emiten. Como medidas de mitigación, Microsoft tiene previsto imponer la separación obligatoria de los principales de servicio de Exchange local y Exchange Online para octubre de 2025.
Esta medida se produce después de que el fabricante de Windows anunciara que comenzará a bloquear temporalmente el tráfico de Exchange Web Services (EWS) utilizando el principal de servicio compartido de Exchange Online a partir de este mes, en un esfuerzo por aumentar la adopción por parte de los clientes de la aplicación híbrida dedicada de Exchange y mejorar la postura de seguridad del entorno híbrido.
El aviso de Microsoft sobre CVE-2025-53786 también coincide con el análisis de la CISA sobre varios artefactos maliciosos desplegados tras la explotación de fallos recientemente revelados en SharePoint, rastreados colectivamente como ToolShell.
Esto incluye dos binarios DLL codificados en Base64 y cuatro archivos Active Server Page Extended (ASPX) diseñados para recuperar la configuración de las claves de máquina dentro de la configuración de una aplicación ASP.NET y actuar como un shell web para ejecutar comandos y cargar archivos.
"Los ciberdelincuentes podrían aprovechar este malware para robar claves criptográficas y ejecutar un comando PowerShell codificado en Base64 para obtener la huella digital del sistema host y extraer datos", afirmó la agencia.
La CISA también insta a las entidades a desconectar de Internet las versiones públicas de Exchange Server o SharePoint Server que hayan alcanzado su fin de vida útil (EOL) o fin de servicio, por no hablar de dejar de utilizar versiones obsoletas.
Fuente: thehackernews