Faille critique sur Exchange 2016 chez OVH - FRsAG

11 Feb 2022


      Glop, glop
On est vendredi mais ce n'est pas un 'trollDi. Asseyez-vous bien, ça va décoiffer d'(in)sécurité.
Un copain dans l'IT vient de m'appeler par rapport à un gros groupe français.
Ils utilisent un Exchange 2016 chez OVH (quelle idée mais bon, soit).
Voici les étapes qu'il a réalisées devant moi :
- Lancer Outlook
- Ajouter un compte Exchange du domaine du client (pour le coup, un compte utilisé uniquement pour les notifs des infra du client).
- On ferme Outlook (oui parce que chez Microsoft, on est trop con pour ajouter le compte directement dans l'interface)
- Du coup, on relance Outlook
- On voit que le compte a bien été ajouté (whoua super)
- On attend quelques secondes (parce qu'on n'a pas la fibre)
- et LA, pouf, pouf, magie du direct, Outlook ajoute TOUS les comptes du domaine du client sans avoir à saisir le moindre mot de passe. Les boites de réception, tout est accessible.
Voilà comment ByPasser la sécurité chez Microsoft + OVH (parce que c'est forcément la faute de l'un et/ou de l'autre puisque dans l'interface web d'OVH, on a vraiment accès à que dalle.
Est-ce que quelqu'un a déjà entendu parler d'un tel bug ?
(allez les pingouins, là vous pouvez vous marrer parce que franchement, même moi là...)
Vincent