San ProxyToken, che non chiedeva la password

Patrono di Microsoft Exchange, dei token di autenticazione delegati e di chi inoltra senza controllare.

Vita

Il 30 agosto 2021 Simon Zuckerbraun della Zero Day Initiative descrisse ProxyToken, un bypass dell'autenticazione in Microsoft Exchange. Una richiesta con un particolare cookie veniva inoltrata a un back-end che avrebbe dovuto autenticarla, ma che in quella configurazione non lo faceva: così si potevano modificare le impostazioni della casella di un'altra persona, ad esempio per inoltrarsi la sua posta. Un altro tassello della stagione nera di Exchange.

Preghiera

O San ProxyToken, che passi i controlli che nessuno esegue, fa' che ogni richiesta inoltrata trovi comunque chi la verifica. Amen.

Come si festeggia

Si festeggia installando le patch di Exchange e controllando che nessuno abbia aggiunto regole di inoltro di nascosto.

Controllo rimandato, controllo mai fatto.