トレンドマイクロ傘下のZero Day Initiative（ZDI）は米国時間8月30日、「ProxyToken」と名付けたMicrosoft Exchange Serverに関する脆弱性（CVE-2021-33766）の情報を公開した。メールが盗聴される恐れがあるという。修正パッチは7月のセキュリティ更新プログラムでリリースされており、ユーザーに適用を促している。
ZDIによると、この脆弱性は、Exchange Serverのシステム構成に関係している。Exchange Serverは、Outlook Web Access（OWA）などによりExchange Serverのメールへの外部のクライアントからのアクセスを受けるフロントエンドと、「Exchangeバックエンド」で構成される。
フロントエンドは、Exchangeバックエンドへのプロキシーとして機能する。Exchangeの大半のサービスでは認証を必要とすることから、フロントエンド側がウェブフォームに入力された認証情報などをExchangeバックエンドに送り、Exchangeバックエンド側で処理が行われると、フロントエンドに応答される。こうした認証方法の中に、フロントエンドがExchangeバックエンド側へ認証の要求を直接渡してしまう「Delegated Authentication（委任認証）」という機能がある。
脆弱性はこの委任認証に起因するという。委任認証では、フロントエンドがセキュリティトークンを含むCookieを見つけた場合に、Exchangeバックエンド側へ認証を委任する。しかし、既定の構成ではExchangeバックエンドが委任認証を行うモジュールを読み込まないようになっており、セキュリティトークンを含むCookieによる認証要求を認識しないケースがあるという。
最終的に、適切な認証処理を経ることなく認証要求が通過してしまい、攻撃者が任意のユーザーの受信設定を変更するなどして、メールを攻撃者へ転送させるなどのことが行えるとしている。
この脆弱性は、ベトナムのセキュリティ研究者のLe Xuan Tuyen氏がZDIに報告し、Microsoftが7月のセキュリティ更新プログラムでパッチをリリースした。ただ、パッチ自体は4月までに開発されリリース準備が進んでいたものの、手違いで遅れたという。
