Am 03.03.2021 wurde offiziell eine Microsoft Zero-Day-Schwachstellen bekanntgegeben. Durch die Sicherheitslücke können Angreifer auf lokal installierte Microsoft Exchange Server (Version 2013, 2016 und 2019) und damit auf E-Mails, Kalendereinträge sowie Kontaktdaten zugreifen. Des Weiteren können Angreifer durch ein gezieltes Einsetzen von Malware weiter in das interne Firmen-Netzwerk vordringen.
Der Exchange Online Service von Microsoft ist hierbei nicht betroffen.
Die Schwachstellen bestehen aus einer serverseitigen Anforderungsfälschung (SSRF), die als CVE-2021-26855 verfolgt wird und es einem Angreifer ermöglicht, beliebige HTTP-Anforderungen zu senden und sich als Exchange-Server zu authentifizieren.
Sobald er sich durch Ausnutzung dieser Schwachstelle authentifiziert hat, kann ein Angreifer dann die anderen Schwachstellen ausnutzen, um Code auf dem Server als SYSTEM (CVE-2021-26857) auszuführen oder eine Datei in einen beliebigen Pfad auf dem Server zu schreiben (CVE-2021-26858 & CVE-2021-27065).
Was ist jetzt zu tun?
- Installieren Sie schnellstmöglich die Updates für Microsoft Exchange Server
- Exchange Server 2010 (RU 31 for Service Pack 3)
- Exchange Server 2013 (CU 23)
- Exchange Server 2016 (CU 19, CU 18)
- Exchange Server 2019 (CU 8, CU 7) - Bei allen Systemen ist es grundlegend zu prüfen, ob es zu einer Kompromittierung gekommen ist. Hierzu müssen Exchange-Systeme auf bekannte Webshells untersucht werden. Wie Sie hierzu vorgehen müssen, finden Sie auf der Webseite des Bundesamtes für Sicherheit in der Informationstechnik (BSI).
- Überwachen Sie Ihre zentralen Systeme sowie Clients mit entsprechenden Lösungen, um Anomalien festzustellen. Sollten Sie Hilfe benötigen, so können wir, Orange Cyberdefense, Sie natürlich direkt mit den passenden technologischen Lösungen unterstützen.
Unternehmen sollten durch diesen Vorfall wachgerüttelt werden. Leider gibt es immer noch eine Vielzahl von Unternehmen, die das Thema IT-Security stiefmütterlich behandeln und durch solch einen Vorfall, großen Schaden erleiden können.
Sie sollten nicht bis zur nächsten Sicherheitslücke warten, sondern jetzt die notwendigen Maßnahmen einleiten, um für zukünftige Vorfälle entsprechend gerüstet zu sein. Denn auch die aktuelle wird nicht die letzte Sicherheitslücke gewesen sein.