【防护方案】Microsoft Exchange Server远程代码执行漏洞(CVE-2020-0688)

检测产品	升级包/规则版本号
RSAS V6 系统插件	在2月14日发布的V6.0R02F01.1707中已支持，请升级至该版本及以上版本中。
IDS	5.6.9.22014、 5.6.10.22014
UTS	5.6.10.22014

IDS 升级包下载链接：

5.6.9.22014

http://update.nsfocus.com/update/downloads/id/102722

5.6.10.22014

http://update.nsfocus.com/update/downloads/id/102723

UTS 升级包下载链接：

http://update.nsfocus.com/update/downloads/id/102741

防护产品	升级包/规则版本号	规则编号
IPS	5.6.9.22014、 5.6.10.22014	24729
WAF	6.0.7.1.43980 6.0.5.1.43980 6.0.4.1.43980	27004936

IPS 规则升级包下载链接：

5.6.9.22014

http://update.nsfocus.com/update/downloads/id/102722

5.6.10.22014

http://update.nsfocus.com/update/downloads/id/102723

WAF 规则升级包下载链接：

6.0.7.1.43980

http://update.nsfocus.com/update/downloads/id/102739

6.0.5.1.43980

http://update.nsfocus.com/update/downloads/id/102740

6.0.4.1.43980

http://update.nsfocus.com/update/downloads/id/102714

3.2.4 安全平台

平台	升级包/规则版本号
ESP（绿盟企业安全平台解决方案）	ESP平台已有 web 插件漏洞规则，但该规则依赖于 WAF 设备，若已经安装绿盟 WAF 设备，请安装对应的 WAF规则升级包。
ESP-H（绿盟企业安全平台）	ESP-H 平台已有 web 插件漏洞规则，但该规则依赖于 WAF 设备，若已经安装绿盟 WAF 设备，请安装对应的 WAF规则升级包。
ISOP（绿盟智能安全运营平台）	ISOP 平台已有 web 插件漏洞规则，但该规则依赖于 WAF 设备，若已经安装绿盟 WAF 设备，请安装对应的 WAF规则升级包。

四. 技术分析

4.1 漏洞原理

该漏洞是由Exchange Server在安装时未能正确创建唯一的加密密钥导致的。具体来说，错误存在于 Exchange Control Panel（ECP）组件中。所有的Microsoft Exchange Server在安装后，web.config文件中都拥有相同的validationKey和decryptionKey。而这两个 Key 是用来保证 ViewState安全性的。ViewState 是ASP.NET Web应用以序列化格式存储在客户端上的服务端数据。客户端通过__VIEWSTATE 请求参数将这些数据返回给服务器。

下图是web.config文件中的部分内容，包含了静态的 validationKey 。

由于使用了静态密钥，经过身份验证的攻击者可以诱使服务器反序列化恶意制作的ViewState数据。借助YSoSerial.net，攻击者可以在服务器上Exchange Control Panel web应用程序的上下文中，以SYSTEM身份执行任意.NET代码。

五. 附录A 产品使用指南

5.1 UTS检测配置

从官网升级系统的统一威胁检测探针升级包中下载uts系统规则升级包：

http://update.nsfocus.com/update/listBsaUtsDetail/v/rule2.0.0

在系统升级中点击离线升级，选择规则升级文件，选择对应的升级包文件，点击上传。

等待升级成功即可。

5.2 IPS防护配置

已经部署绿盟网络入侵防护系统（NIPS）的用户，可通过规则升级进行有效的防护，相关用户可参考以下步骤进行规则库升级。

从官网下载最新的NIPS升级包，以5.6.10版本为例，访问以下链接可到下载规则包页面：

http://update.nsfocus.com/update/listNewipsDetail/v/rule5.6.10

在系统升级中点击离线升级，选择系统规则库，选择对应的文件，点击上传。

更新成功后，在系统默认规则库中查找规则编号：24729，即可查询到对应的规则详情。

5.3 WAF 防护配置

从官网下载最新的 WAF升级包，以6.0.7.1.43980为例，访问以下链接可到下载规则升级包页面：

http://update.nsfocus.com/update/listWafV67Detail/v/rule6070

在WAF的规则升级界面进行升级：

手动选择规则包，点击提交后即可升级成功。

声明

本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，绿盟科技以及安全公告作者不为此承担任何责任。绿盟科技拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经绿盟科技允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。

关于绿盟科技

北京神州绿盟信息安全科技股份有限公司（简称绿盟科技）成立于2000年4月，总部位于北京。在国内外设有30多个分支机构，为政府、运营商、金融、能源、互联网以及教育、医疗等行业用户，提供具有核心竞争力的安全产品及解决方案，帮助客户实现业务的安全顺畅运行。

基于多年的安全攻防研究，绿盟科技在网络及终端安全、互联网基础安全、合规及安全管理等领域，为客户提供入侵检测/防护、抗拒绝服务攻击、远程安全评估以及Web安全防护等产品以及专业安全服务。

北京神州绿盟信息安全科技股份有限公司于2014年1月29日起在深圳证券交易所创业板上市，股票简称：绿盟科技，股票代码：300369。

一. 综述

二. 漏洞影响范围

三. 技术防护方案

3.1官方修复方案

3.2 绿盟科技检测防护建议

3.2.1 绿盟科技检测类产品与服务

3.2.2 使用绿盟科技防护类产品进行防护

3.2.3 检测防护产品升级包/规则版本号