Erneut Angriff auf Microsoft Exchange Server – Jetzt patchen

Microsoft Exchange erfreut sich großer Beliebtheit. Da insbesondere Unternehmen für das wichtige Kommunikationsmedium ‚E-Mail‘ auf Microsofts Mailserver setzen, ist dieser gleichfalls ein beliebtes Angriffsmedium für das Einschleusen von Schadcode. Nachdem Microsoft Exchange bereits zu Jahresbeginn mit einer Angriffswelle zu kämpfen hatte (wir berichteten), sind nun erneut kritische Sicherheitslücken aufgedeckt worden.

Neue Angriffsfläche offenbart

Anfang August hielt der Sicherheitsforscher Orange Tsai auf der Black Hat 2021 Konferenz einen Vortrag mit dem passenden Titel „ProxyLogon ist nur die Spitze des Eisbergs“. Tsai zeigt eine neue Angriffsfläche, die auf einer Änderung des Client Access Service (CAS) im Exchange Server 2013 basiert. Hier wurde das Client Access Service (CAS) in Frontend und Backend aufgeteilt. Diese Änderung hat laut Tsai jedoch erhebliche Design-Probleme mit sich gebracht. So wurde die Autodiscover Funktion angreifbar. Tsai fasst die Schwachstellen in drei Angriffsvektoren ProxyLogon, ProxyShell und ProxyOracle zusammen.

Auch Hacker verfolgen Sicherheitskonferenzen?

Der Sicherheitsexperte Kevin Beaumont beobachtete nur wenige Tage nach der Konferenz verdächtige Einträge im Log seines Exchange-Servers, den er Honeybopt aufgesetzt hatte. Das Log wies auf Versuche hin, die die von Tsai beschriebene Autodiscover-Lücke auszunutzen. Es ist darum anzunehmen, dass die Angreifer auch die Vorträge von Sicherheitskonferenzen verfolgen.

I may have an update – somebody is accessing /autodiscover/autodiscover.json to access MAPI and my IIS is writing out files and executing commands cc @peterjson pic.twitter.com/oBPG1bvshx

— Kevin Beaumont (@GossiTheDog) August 6, 2021

Patchen, patchen und nochmals patchen

Bereits im April hatte Microsoft Updates für das Client Access Frontend zur Verfügung gestellt. Die von Tsai genannten Lücken sind jedoch nach wie vor nicht vollständig von Microsoft gefixt. Wie einem Beitrag von Beaumont zu entnehmen ist, befinden sich in Deutschland dennoch zahlreiche Exchange Server mit veraltetem Patch-Stand:

Exchange 2016 servers patched to March 2021 (i.e. vulnerable again). Exchange is bigger in Germany than The Hoff! pic.twitter.com/XC3jNm2Jbc

— Kevin Beaumont (@GossiTheDog) August 6, 2021

Die aktuellen Updates:

• Microsoft Exchange Server 2013
  • Cumulative Update 23 für Exchange Server 2013 (KB4489622)
  • Sicherheitsupdate März
  • Sicherheitsupdate April
  • Sicherheitsupdate Mai
  • Sicherheitsupdate Juni
• Microsoft Exchange Server 2016
  • Comulative Update 21 für Exchange Server 2016 (KB5003611)
  • Sicherheitsupdate Juli
• Microsoft Exchange Server 2019
  • Cumulative Update CU10 für Exchange Server 2019 (KB5003612)
  • Sicherheitsupdate Juli

Weitere Informationen zum Patchen Ihres Exchange Servers finden Sie auch in unserem Artikel. Grundsätzlich empfehlen wir auch weiterhin, manuell ein Auge auf den Patch-Stand Ihres Exchange Servers zu halten. Verlassen Sie sich nicht ausschließlich auf automatische Updates, da diese oftmals bewusst vom Administrator deaktiviert wurden, um ungewollte automatische Neustarts des Servers zu verhindern.