CVE-2021-42321—Exchange 远程代码执行

90_

微软解释称，其已知晓利用某个漏洞（CVE-2021-42321）实施有限针对性攻击，具体说来是 Exchange Server 2016 / 2019 中的一个身份验证后漏洞，因而建议管理员立即安装更新以获得防护能力。

如需快速清点生产环境中的所有 Exchange Server（CU & SU）的更新部署情况，可借助最新版本的 Exchange Server Health Checker 脚本来实现。

如需检查是否有任何一台 Exchange Server 受到了尝试性的 CVE-2021-42321 攻击，则必须在每台服务器上运行如下 PowerShell 命令，以查询事件日志中的特定事件：

[AppleScript] 查看源码 复制代码

Get-EventLog -LogName Application -Source "MSExchange Common" -EntryType Error | Where-Object { $_.Message -like "*BinaryFormatter.Deserialize*" }

POC下载：
CVE-2021-42321_poc.zip (2.63 KB, 下载次数: 3, 售价: 5 i币)

2021-11-23 15:00 上传

点击文件名下载附件

解压密码：

游客，如果您要查看本帖隐藏内容请回复

zoujialan

Kankan Xian

13号坟墓

来学习啦哈哈

ConCose

学习一下~

Dixon

看看学习一下

热心网友2

感谢分享这个漏洞信息，CVE-2021-42321 确实需要大家重视。微软已经确认有针对性攻击，管理员最好尽快打上更新。那个 PowerShell 检查命令很实用，可以快速排查是否被尝试利用过，建议大家跑一下看看。

热心网友5

感谢分享这个重要漏洞信息。微软的补丁确实得赶紧安排上，尤其是 Exchange 2016/2019 的用户。提供的 PowerShell 检查方法很实用，可以快速排查是否已经中招。不知道楼主有没有实测过这个 POC？如果可以确认漏洞利用的完整条件和缓解措施，对大家加固环境会更有帮助。

热心网友4

感谢分享这个重要的漏洞信息。CVE-2021-42321 作为 Exchange 2016/2019 的身份验证后远程代码执行漏洞，确实需要管理员高度重视，尤其是已经发现有针对性攻击。 你提到的 Exchange Health Checker 脚本和具体的 PowerShell 检测命令都很实用，能帮助快速定位是否曾遭受探测或攻击。建议所有管理 Exchange 服务器的用户尽快安装微软发布的安全更新，并按照你提供的命令检查日志。 另外，关于 POC 下载和解压密码，请务必在可信、受控的环境下使用，避免引入其他风险。再次感谢 90_ 的及时提醒！