Nog een code-executie op afstand in MS-Exchange
Opnieuw hebben twee ernstige kwetsbaarheden de Exchange Server van Microsoft getroffen: Met een ernst van 8,8 en 6,3 in het Common Vulnerability Score System vormen de kwetsbaarheden (CVE-2022-41040 en CVE-2022-41082), die nog niet gepatcht waren, een bedreiging voor alle servers die vertrouwen op het mailsysteem van Microsoft.
Omdat ze nu ook actief worden uitgebuit door aanvallers, moeten getroffen beheerders ervoor zorgen dat ze de workaround van Microsofts Blog onmiddellijk implementeren totdat de fabrikant het probleem heeft verholpen. De kwetsbaarheden werden eind september al ontdekt door het beveiligingsbedrijf GTSC, een patch door Microsoft laat nog op zich wachten.
Getroffen: Exchange 2013, 2016 en 2019
Alle on-premise installaties van Microsoft Exchange Server versies 2013, 2016 en 2019 zijn getroffen, inclusief volledig gepatchte en goed onderhouden servers. Klanten en producten van grommunio worden niet getroffen door deze kwetsbaarheid.
Volgens de leverancier maakt het lek (hier is het voortdurend bijgewerkt BSI-rapport) “remote code execution voor geauthenticeerde accounts” mogelijk, d.w.z. het uitvoeren van willekeurige code via gebruikersaccounts. De aanbevolen workaround adviseert alle on-premise klanten van Microsoft om externe toegang tot Powershell (de opdrachtregel van het Windows-systeem) uit te schakelen voor niet-geautoriseerde gebruikers. Dit is momenteel de enige manier om te voorkomen dat aanvallers deze accounts misbruiken en ernstige schade aan de server of het lokale netwerk toebrengen.
De eerste maatregelen van Microsoft zijn onvoldoende
Beveiligingsexperts blijven het probleem onderzoeken en delen hun bevindingen voornamelijk op Twitter. De bijbehorende hashtag is #proxynotshell, in verwijzing naar andere beveiligingsincidenten in Exchange uit 2021. Het advies dat de BSI en Microsoft aannamen om alle niet-geprivilegieerde gebruikers “uit te sluiten” van Powershell kwam ook via Twitter, nadat de aanvankelijk door Microsoft voorgestelde mitigatie verifieerbaar niet tot succes leidde.
Test grommunio gratis op je eigen server.
bijwerken
12. Oktober: Tegen de verwachting in heeft Microsoft op zijn laatste patchdag (op 11 oktober) geen patch voor de kwetsbaarheid geleverd. Na de problematische workarounds en nadat hackers al actief misbruik maken van de kwetsbaarheden, wordt Microsoft nu geconfronteerd met ernstigere beveiligingslekken in Windows, Hyper-V en Office. De blogpost van Microsofts Security Response Center wordt voortdurend bijgewerkt door het Amerikaanse bedrijf, de laatste post is van 9 oktober.
