這對 Microsoft Exchange 來說是糟糕的一周。在確認兩個新的零日漏洞之後，微軟現在告訴 Exchange Online 用戶，客戶是 在使用基本身份驗證 (Basic Auth) 時面臨密碼噴射攻擊的風險。
Microsoft 在結束後發出警告支持 Exchange 上的基本身份驗證。這從 2022 年 10 月 1 日開始發生。至於它的替代品，微軟建議客戶開始使用更安全的現代身份驗證 (OAuth 2.0)。
微軟將折舊延至 2023 年。這意味著客戶還沒有準備好目前可以通過自診斷工具重新啟用基本身份驗證。這種方法將一直有效到 12 月，直到微軟在 1 月初永久關閉支持。
該公司現在正在擴展從 Exchange Online 中刪除基本身份驗證的原因。
“我們的唯一原因是’在 Exchange Online 中關閉基本身份驗證是為了保護您的用戶和數據。我每天看到的證據清楚地表明密碼噴射攻擊正變得越來越頻繁，”微軟 Exchange 團隊的 Greg Taylor 說。
密碼噴射是指攻擊者試圖通過使用常見和/或弱密碼的列表。本質上，它是猜測，但由於嘗試次數多以及用戶是否容易破解密碼而可以工作。
“本質上這是一個數字遊戲，計算機相當Taylor 補充道。
最近的 Exchange 問題
Microsoft 最近確認 Exchange Server 中存在兩個新的零日漏洞。
p>
該公司正在跟踪漏洞，分別為 CVE-2022-41040 和 CVE-2022-41082。微軟將第一個描述為服務器端請求偽造 (SSRF) 錯誤，而第二個可能允許威脅參與者通過 PowerShell 進行遠程代碼執行 (RCE) 攻擊。但是，攻擊需要惡意行為者對 Microsoft Exchange Server 進行身份驗證訪問。
昨天出現了騙子試圖在 GitHub 上出售針對漏洞的虛假概念驗證漏洞利用的消息。
每日提示:您知道您可以使用 Windows 內置的防病毒軟件 Microsoft Defender 並進行計劃掃描嗎?在我們的教程中，我們將為您提供有關如何編寫個人掃描計劃以防止惡意軟件的分步說明。
