BDU:2021-01123 (CVE-2021-26855) — уязвимость почтового сервера Microsoft Exchange Server
По данным БДУ ФСТЭК России, по состоянию на 14.08.2026.
Критический — 9.8/10 Публичный эксплойт Есть инциденты ИБ Устранена
Уязвимость почтового сервера Microsoft Exchange Server связана с недостаточной проверкой поступающих запросов. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, осуществить SSRF-атаку с помощью специально сформированных HTTPS-запросов (содержащих вредоносные файлы cookie X-AnonResource-Backend и искаженные файлы cookie X-BEResource)
Кого касается и что делать
- Уязвимое ПО: Microsoft Exchange Server (Microsoft) — версии 2016 Cumulative Update 8, 2016 Cumulative Update 9, 2013 Cumulative Update 21, 2016 Cumulative Update 10, 2016 Cumulative Update 11, 2019, 2013 Cumulative Update 22, 2016 Cumulative Update 12, 2019 Cumulative Update 1, 2016 Cumulative Update 19, 2013 Cumulative Update 23, 2016 Cumulative Update 13, 2019 Cumulative Update 2, 2016 Cumulative Update 14, 2019 Cumulative Update 3 и др.
- Что делать: уязвимость устранена производителем — применить исправления: msrc.microsoft.com
- Эксплойт: существует в открытом доступе — приоритет обновления внеочередной
Сведения об уязвимости
| Идентификаторы | BDU:2021-01123 · CVE-2021-26855 |
| Уровень опасности | Критический (базовая оценка CVSS 3.1 — 9.8; CVSS 2.0 — 10.0) |
| Вектор CVSS 3.1 | AV:N/ атака по сети, низкая сложность, без прав, без участия пользователя, высокое влияние на конфиденциальность, целостность и доступность |
| Наименование ФСТЭК | Уязвимость почтового сервера Microsoft Exchange Server, связанная с недостаточной проверкой поступающих запросов, позволяющая нарушителю осуществить SSRF-атаку |
| Даты | Опубликована: 03.03.2021 · Обновлена ФСТЭК: 14.08.2026 · Выявлена: 02.03.2021 |
| Статус уязвимости | Подтверждена производителем (производитель признал уязвимость) |
| Наличие эксплойта | Существует в открытом доступе (код атаки общедоступен, риск эксплуатации повышен) |
| Информация об устранении | Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения) |
| Тип ошибки | CWE-918 — серверная фальсификация запросов |
| Класс уязвимости | Уязвимость кода · Способ эксплуатации: подмена при взаимодействии |
Уязвимое ПО
- Microsoft Exchange Server (Microsoft) — версии 2016 Cumulative Update 8, 2016 Cumulative Update 9, 2013 Cumulative Update 21, 2016 Cumulative Update 10, 2016 Cumulative Update 11, 2019, 2013 Cumulative Update 22, 2016 Cumulative Update 12, 2019 Cumulative Update 1, 2016 Cumulative Update 19, 2013 Cumulative Update 23, 2016 Cumulative Update 13, 2019 Cumulative Update 2, 2016 Cumulative Update 14, 2019 Cumulative Update 3 и др. · прикладное ПО информационных систем
Возможные меры по устранению уязвимости
Обновление.
- Использование рекомендаций
- msrc.microsoft.com/update-guide/vulnerability/CVE-2021-26855
Источники
- msrc.microsoft.com/update-guide/vulnerability/CVE-2021-26855
- nvd.nist.gov/vuln/detail/CVE-2021-26855
- www.cybersecurity-help.cz/vdb/SB2021030301
- msrc-blog.microsoft.com/2021/03/05/microsoft-exchange-ser…
- packetstormsecurity.com/files/161938/Microsoft-Exchange-P…
- packetstormsecurity.com/files/162610/Microsoft-Exchange-2…
