Nachdem Microsoft Exchange bereits zu Jahresbeginn mit einer Angriffswelle zu kämpfen hatte (wir berichteten), sind nun erneut kritische Sicherheitslücken aufgedeckt worden.
Anfang August hielt der Sicherheitsforscher Orange Tsai auf der Black Hat 2021 Konferenz einen Vortrag mit dem passenden Titel „ProxyLogon ist nur die Spitze des Eisbergs“. Tsai zeigt eine neue Angriffsfläche, die auf einer Änderung des Client Access Service (CAS) im Exchange Server 2013 basiert. Hier wurde das Client Access Service (CAS) in Frontend und Backend aufgeteilt. Diese Änderung hat laut Tsai jedoch erhebliche Design-Probleme mit sich gebracht. So wurde die Autodiscover Funktion angreifbar. Tsai fasst die Schwachstellen in drei Angriffsvektoren ProxyLogon, ProxyShell und ProxyOracle zusammen.
Der Sicherheitsexperte Kevin Beaumont beobachtete nur wenige Tage nach der Konferenz verdächtige Einträge im Log seines Exchange-Servers, den er Honeybopt aufgesetzt hatte. Das Log wies auf Versuche hin, die die von Tsai beschriebene Autodiscover-Lücke auszunutzen. Es ist darum anzunehmen, dass die Angreifer auch die Vorträge von Sicherheitskonferenzen verfolgen.
Bereits im April hatte Microsoft Updates für das Client Access Frontend zur Verfügung gestellt. Die von Tsai genannten Lücken sind jedoch nach wie vor nicht vollständig von Microsoft gefixt. Wie einem Beitrag von Beaumont zu entnehmen ist, befinden sich in Deutschland dennoch zahlreiche Exchange Server mit veraltetem Patch-Stand:
Die aktuellen Updates:
Weitere Informationen zum Patchen Ihres Exchange Servers finden Sie auch in unserem Artikel. Grundsätzlich empfehlen wir auch weiterhin, manuell ein Auge auf den Patch-Stand Ihres Exchange Servers zu halten. Verlassen Sie sich nicht ausschließlich auf automatische Updates, da diese oftmals bewusst vom Administrator deaktiviert wurden, um ungewollte automatische Neustarts des Servers zu verhindern.