Origine : bjCSIRT
Numéro : 2025/ALERTE/058
Date de l’alerte : 12/08/2025
APERÇU :
Microsoft Exchange hybride est affecté par une vulnérabilité permettant une élévation de privilèges sur le système concerné.
DESCRIPTION :
Microsoft Exchange est une plateforme de messagerie et de collaboration développée par Microsoft, utilisée pour gérer les mails, calendriers, contacts et tâches. Elle peut être déployée sur site (on-premises), dans le cloud via Exchange Online, ou dans une configuration hybride combinant les deux environnements.
Les configurations hybrides de Microsoft Exchange sont affectées par la vulnérabilité libellée CVE-2025-53786. Elle résulte du fait que les instances Exchange locales et Exchange Online partagent le même service principal, c’est-à-dire une identité d’application unique utilisée pour l’authentification et la communication entre les deux environnements. Lorsqu’un acteur malveillant compromet un serveur Exchange sur site, ce dernier pourrait exploiter cette configuration pour générer des jetons OAuth via le service d’accès de Microsoft (ACS) et s’authentifier au nom de n’importe quel utilisateur hybride dans le cloud. Cette élévation de privilèges permet de contourner des mécanismes de sécurité tels que les contrôles d’accès conditionnels et de mener des actions malveillantes dans Exchange Online, sans laisser de traces visibles dans les journaux.
Cette vulnérabilité est classée élevée avec un score de sévérité de 8.0 selon le CVSS 3.1.
IMPACT :
- Atteinte à la confidentialité des données ;
- Atteinte à l’intégrité des données ;
- Élévation de privilèges.
SYSTÈMES AFFECTÉS :
- Microsoft Exchange Server 2016 (CU23);
- Microsoft Exchange Server 2019 (CU14, CU15) ;
- Microsoft Exchange Server Subscription Edition (RTM).
MESURES À PRENDRE :
- Si Exchange hybride est utilisé, consulter la documentation Microsoft Exchange Server Security Changes for Hybrid Deployments pour déterminer si le déploiement hybride est potentiellement affecté et éligible à une mise à jour cumulative (CU).
- Installer les dernières correctifs Exchange Server publiés par Microsoft sur le serveur Exchange local et suivre les instructions de configuration pour déployer une application hybride Exchange dédiée.
- Pour les organisations utilisant Exchange hybride (ou l’ayant déjà configuré mais ne l’utilisant plus), consulter la documentation Microsoft Service Principal Clean-Up Mode pour réinitialiser les keyCredentials du service principal.
- Une fois ces actions terminées, exécuter l’outil Microsoft Exchange Health Checker afin de déterminer si des étapes supplémentaires sont nécessaires.
RÉFÉRENCES :
- https://www.cve.org/CVERecord?id=CVE-2025-53786
