Se ha informado de una vulnerabilidad crítica que afecta al servidor de correo Microsoft Exchange Server, denominada CVE-2023-36745 y clasificada como Alta con una puntuación CVSS de 8,0, que puede permitir a atacantes remotos ejecutar código remoto (RCE).

Esta vulnerabilidad se aprovecha de la clase Microsoft.Exchange.DxStore.Common.DxSerializationUtil.SharedTypeResolver para eludir las restricciones de seguridad predeterminadas de .NET Framework. Esta clase puede utilizarse para cargar ensamblados desde ubicaciones remotas, lo que posteriormente permite la ejecución de código arbitrario en el sistema de la víctima.

Un atacante podría explotar la vulnerabilidad aprovechando el gadget (Tipo 4) UnitySerializationHolder mediante la deserialización de datos no fiables. La explotación de esta vulnerabilidad requiere que el atacante acceda a la LAN y obtenga las credenciales de un usuario válido de Exchange.

Se ha publicado un exploit de prueba de concepto (PoC) para la vulnerabilidad CVE-2023-36745 de Microsoft Exchange Server, se recomienda tomar medidas correctivas inmediatas.