Erfolgreicher Angriff: Mehr als zehntausend lokale Microsoft Exchange Server betroffen

Exchange Online Service nicht betroffen – Thomas Jupe kommentiert Vorfall und gibt Tipps

[datensicherheit.de, 08.03.2021] Am 3. März 2021 wurde offiziell eine Zero-Day-Schwachstelle von Microsoft bekanntgegeben. Durch diese Sicherheitslücke könnten Angreifer auf die lokalen „Microsoft Exchange Server“ (Version 2013, 2016 und 2019) zugreifen. Der „Exchange Online Service“ von Microsoft sei hierbei nicht betroffen. Thomas Jupe, „Portfoliomanager PreSales und Portfolio“ bei Orange Cyberdefense kommentiert den Vorfall:

Foto: Orange Cyberdefense

Thomas Jupe: Schwachstellen bestehen aus serverseitiger Anforderungsfälschung

Angreifer könnten beliebige HTTP-Anforderungen senden und sich als Exchange-Server authentifizieren

Die Schwachstellen bestehen demnach aus einer serverseitigen Anforderungsfälschung (SSRF), die als „CVE-2021-26855“ verfolgt werde und es einem Angreifer ermögliche, beliebige HTTP-Anforderungen zu senden und sich als Exchange-Server zu authentifizieren.
„Sobald er sich durch Ausnutzung dieser Schwachstelle authentifiziert hat, kann ein Angreifer dann die anderen Schwachstellen ausnutzen, um Code auf dem Server als SYSTEM (CVE-2021-26857) auszuführen oder eine Datei in einen beliebigen Pfad auf dem Server zu schreiben (CVE-2021-26858 & CVE-2021-27065)“, berichtet Jupe.

Schnellstmöglich Updates für Microsoft Exchange Server installieren!

Angreifer erhielten über diese Sicherheitslücke einen Zugriff auf E-Mails, Kalendereinträge sowie Kontaktdaten. Des Weiteren könnten Angreifer durch ein gezieltes Einsetzen von Malware weiter in das interne Firmen-Netzwerk vordringen und weitere Systeme sowie Benutzerkonten übernehmen.
Jupe rät: „Installieren Sie schnellstmöglich die Updates für Microsoft Exchange Server!“ Bei allen Systemen sei es grundlegend zu prüfen, ob es zu einer Kompromittierung gekommen ist. Hierzu müssten „Exchange“-Systeme auf bekannte Webshells untersucht werden. Zum Vorgehen empfiehlt er die Information „Mehrere Schwachstellen in MSExchange / CSW-Nr. 2021-197772-14F2, Version 1.4“ des Bundesamtes für Sicherheit in der Informationstechnik (BSI). Zudem sollten die eigenen zentralen Systeme sowie Clients mit entsprechenden Lösungen überwacht werden, um Anomalien festzustellen. „Sollten Sie Hilfe benötigen, so können wir, Orange Cyberdefense, Sie natürlich direkt mit den passenden technologischen Lösungen unterstützen“, so Jupe.

Aktueller Vorfall mit Microsoft Exchange Server sollte endlich wachrütteln

Unternehmen sollten durch diesen Vorfall wachgerüttelt werden. Leider gebe es immer noch eine Vielzahl von Unternehmen, die das Thema IT-Security stiefmütterlich behandelten und durch solch einen Vorfall großen Schaden erleiden könnten.
„Sie sollten nicht bis zur nächsten Sicherheitslücke warten, sondern jetzt die notwendigen Maßnahmen einleiten, um für zukünftige Vorfälle entsprechend gerüstet zu sein.“ Denn auch die aktuelle werde nicht die letzte Sicherheitslücke gewesen sein, warnt Jupe.

Weitere Informationen zum Thema:

Microsoft
Description of the security update for Microsoft Exchange Server 2010 Service Pack 3: March 2, 2021 (KB5000978)

Microsoft
Description of the security update for Microsoft Exchange Server 2019, 2016, and 2013: March 2, 2021 (KB5000871)

Microsoft
Description of the security update for Microsoft Exchange Server 2019, 2016, and 2013: March 2, 2021 (KB5000871)

Microsoft
Description of the security update for Microsoft Exchange Server 2019, 2016, and 2013: March 2, 2021 (KB5000871)

datensicherheit.de, 08.03.2021
Angriffe auf E-Mail-Server: 5 eco-Tipps zur Vorbeugung / Unternehmen sollten angesichts jüngster Attacken auf Microsoft Exchange Server Notfallvorsorge und Patch-Management auf den Prüfstand stellen

Bundesamt für die Sicherheit in der Informationstechnik, 06.03.2021
Mehrere Schwachstellen in MSExchange / CSW-Nr. 2021-197772-14F2, Version 1.4

datensicherheit.de, 03.03.2021
Microsoft Exchange: Zero-Day-Lücken ermöglichen Industriespionage / Lokal installierte Versionen von Microsoft Exchange betroffen