Nachdem Microsoft Exchange bereits zu Jahresbeginn mit einer Angriffswelle zu kämpfen hatte (wir berichteten), sind nun erneut kritische Sicherheitslücken aufgedeckt worden.
Neue Angriffsfläche offenbart
Anfang August hielt der Sicherheitsforscher Orange Tsai auf der Black Hat 2021 Konferenz einen Vortrag mit dem passenden Titel „ProxyLogon ist nur die Spitze des Eisbergs“. Tsai zeigt eine neue Angriffsfläche, die auf einer Änderung des Client Access Service (CAS) im Exchange Server 2013 basiert. Hier wurde das Client Access Service (CAS) in Frontend und Backend aufgeteilt. Diese Änderung hat laut Tsai jedoch erhebliche Design-Probleme mit sich gebracht. So wurde die Autodiscover Funktion angreifbar. Tsai fasst die Schwachstellen in drei Angriffsvektoren ProxyLogon, ProxyShell und ProxyOracle zusammen.
By loading the video, you agree to YouTube’s privacy policy.
Learn more
Auch Hacker verfolgen Sicherheitskonferenzen?
Der Sicherheitsexperte Kevin Beaumont beobachtete nur wenige Tage nach der Konferenz verdächtige Einträge im Log seines Exchange-Servers, den er Honeybopt aufgesetzt hatte. Das Log wies auf Versuche hin, die die von Tsai beschriebene Autodiscover-Lücke auszunutzen. Es ist darum anzunehmen, dass die Angreifer auch die Vorträge von Sicherheitskonferenzen verfolgen.
By loading the tweet, you agree to Twitter’s privacy policy.
Learn more
Patchen, patchen und nochmals patchen
Bereits im April hatte Microsoft Updates für das Client Access Frontend zur Verfügung gestellt. Die von Tsai genannten Lücken sind jedoch nach wie vor nicht vollständig von Microsoft gefixt. Wie einem Beitrag von Beaumont zu entnehmen ist, befinden sich in Deutschland dennoch zahlreiche Exchange Server mit veraltetem Patch-Stand:
By loading the tweet, you agree to Twitter’s privacy policy.
Learn more
Die aktuellen Updates:
- Microsoft Exchange Server 2013
- Microsoft Exchange Server 2016
- Microsoft Exchange Server 2019
Weitere Informationen zum Patchen Ihres Exchange Servers finden Sie auch in unserem Artikel. Grundsätzlich empfehlen wir auch weiterhin, manuell ein Auge auf den Patch-Stand Ihres Exchange Servers zu halten. Verlassen Sie sich nicht ausschließlich auf automatische Updates, da diese oftmals bewusst vom Administrator deaktiviert wurden, um ungewollte automatische Neustarts des Servers zu verhindern.
