357.000 Exchange-servers kwetsbaar door niet geïnstalleerde update
Meer dan 357.000 Exchange-servers zijn kwetsbaar voor aanvallen doordat een beveiligingsupdate voor een ernstige kwetsbaarheid niet is geïnstalleerd. Dat meldt securitybedrijf Rapid7 op basis van onderzoek onder 433.000 Exchange-servers. Het beveiligingslek wordt al ruim een maand actief aangevallen.
Via de kwetsbaarheid kan een aanvaller, die toegang tot het e-mailaccount van een gebruiker op de server heeft, willekeurige code met systeemrechten uitvoeren. Op deze manier kan een aanvaller volledige controle over de server krijgen en bijvoorbeeld het e-mailverkeer onderscheppen en manipuleren. Op dinsdag 11 februari kwam Microsoft met een beveiligingsupdate voor de kwetsbaarheid. Twee weken later op 25 februari publiceerde het Zero Day Initiative (ZDI) meer details over het beveiligingslek. Kort na het verschijnen van deze uitleg vinden er aanvallen plaats.
Eind maart besloot Rapid7 op internet te zoeken naar publiek toegankelijke Exchange Outlook Web App (OWA) services. Dit leverde iets meer dan 433.000 Exchange-servers op. Daarvan waren er meer dan 357.000 kwetsbaar doordat de sinds februari beschikbaar zijnde update niet was geïnstalleerd. Het werkelijke aantal kwetsbare servers ligt mogelijk hoger, omdat sommige van de servers die Rapid7 als veilig beschouwt niet zijn gepatcht. Dit komt doordat de testmethode niet precies genoeg is bij het bepalen van de gebruikte versie. Bij de 357.000 servers waarvan is vastgesteld dat ze kwetsbaar zijn was het zonder twijfel duidelijk dat ze niet zijn geüpdatet.
De problemen met het installeren van beveiligingsupdates voor Exchange gaan echter verder dan alleen deze ene beveiligingsupdate. Meer dan 31.000 Exchange 2010-servers hebben sinds 2012 geen patches ontvangen. Bijna achthonderd Exchange 2010-servers zijn zelfs nog nooit geüpdatet. Tevens blijkt dat er nog zo'n 9.000 Exchange 2007-servers zijn. De ondersteuning van Exchange 2007 stopte op 11 april 2017. Gevonden kwetsbaarheden in deze versie van Exchange worden niet meer door Microsoft gepatcht.
Op 13 oktober 2020 eindigt de support van Exchange 2010, waarvan nog meer dan 166.000 servers op internet zijn te vinden. Al deze systemen zullen over een aantal maanden geen beveiligingsupdates meer ontvangen. Organisaties en beheerders krijgen het dringende advies om de beschikbare beveiligingsupdate voor kwetsbaarheid CVE-2020-0688 te installeren en op eventueel gecompromitteerde Exchange-omgevingen te controleren. Het gebruik van de exploit laat aanwijzingen in de logbestanden achter.
Het percentage kwetsbare servers van Rapid7 komt overeen met onderzoek van securitybedrijf Kenna Security. Dat bedrijf bekeek vorige maand de gegevens van honderden klanten en zag dat bij minder dan 15 procent de Exchange-update was geïnstalleerd.
Maar meestal draait er inderdaad een reverse proxy voor deze services.
En als SMTP gateway is het bijvoorbeeld mogelijk om een Exim server te plaatsen.....https://www.security.nl/posting/552854/Onderzoeker%3A+400_000+mailservers+lopen+risico+door+Exim-lek
357.000 van de 433.000; dat is een score van 82%.
WTF?
Ik wist dat MS updates langzaam binnen komen en niet altijd koosjer zijn en dat daarom organisaties conservatief zijn, maar dit is wel heel erg!
zeker nu iedereen gedwongen thuis moet werken en dus die web interfance hard nodig heeft...
zo erg is het niet eens met IoT meuk uit china...
Maar het hangt er allemaal vanaf hoe de configuratie is. Als je een Linux of FreeBSD loadbalancer gebruikt (wat Microsoft gebruikt), dan kun je perfect je IIS webserver hierachter gebruiken. Als je echter geen WAP/WAF hebt draaien op je loadbalancer, maakt dit alleen helemaal niets uit.
Bijvoorbeeld outlook.office365.com gebruikt loadbalancers, waar de netscaler een mogelijkheid is.
Overigens, mensen met Exchange 2019, kunnen net zo goed direct upgraden naar CU5
https://support.microsoft.com/en-us/help/4537677/cumulative-update-5-for-exchange-server-2019
Bevat ook de fixes van:
4536987 Description of the security update for Microsoft Exchange Server 2019: February 11, 2020
4540123 Description of the security update for Microsoft Exchange Server 2019: March 10, 2020
Nee, deze raadgeving is duidelijk specifiek van toepassing op Microsoft Windows. Weinig verrassend, als je de aanhoudende stroom van beveiligingsproblemen berichten in de media volgt.
Maar het hangt er allemaal vanaf hoe de configuratie is. Als je een Linux of FreeBSD loadbalancer gebruikt (wat Microsoft gebruikt), dan kun je perfect je IIS webserver hierachter gebruiken. Als je echter geen WAP/WAF hebt draaien op je loadbalancer, maakt dit alleen helemaal niets uit.
Bijvoorbeeld outlook.office365.com gebruikt loadbalancers, waar de netscaler een mogelijkheid is.
Check Hosting History: https://sitereport.netcraft.com/?url=www.microsoft.com
https://sitereport.netcraft.com/?url=www.microsoft.nl
https://sitereport.netcraft.com/?url=www.microsoft.nl
Flaming, in goed Nederlands:
https://nl.m.wikipedia.org/wiki/Flaming
Bijvoorbeeld outlook.office365.com gebruikt loadbalancers, waar de netscaler een mogelijkheid is.
357.000 van de 433.000; dat is een score van 82%.
WTF?
Ik wist dat MS updates langzaam binnen komen en niet altijd koosjer zijn en dat daarom organisaties conservatief zijn, maar dit is wel heel erg!
zeker nu iedereen gedwongen thuis moet werken en dus die web interfance hard nodig heeft...
zo erg is het niet eens met IoT meuk uit china...
Ja maar dat exchange lijkt ook een aan elkaar geknoopte rommel. Updates van 200MB ~ 500MB wtf. Als je een update installeerd, doet iets het weer niet. Of services starten niet. En dan die idiote trace logging die standaard aanstaat en GB's aan logs per dag produceerd. Zo van, ehhh, we weten ook niet wat er allemaal mis kan gaan laten we maar zoveel mogelijk loggen.
357.000 van de 433.000; dat is een score van 82%.
WTF?
Ik wist dat MS updates langzaam binnen komen en niet altijd koosjer zijn en dat daarom organisaties conservatief zijn, maar dit is wel heel erg!
zeker nu iedereen gedwongen thuis moet werken en dus die web interfance hard nodig heeft...
zo erg is het niet eens met IoT meuk uit china...
Ja maar dat exchange lijkt ook een aan elkaar geknoopte rommel. Updates van 200MB ~ 500MB wtf. Als je een update installeerd, doet iets het weer niet. Of services starten niet. En dan die idiote trace logging die standaard aanstaat en GB's aan logs per dag produceerd. Zo van, ehhh, we weten ook niet wat er allemaal mis kan gaan laten we maar zoveel mogelijk loggen.
Maar dat doe je toch je support belletje naar MS en klaag je daar toch over in de hoop dat als er maar genoeg klagen er ook daadwerkelijk iets gedaan wordt? Dat was toch het idee en de afspraak? Of merken we hier pijnlijk duidelijk dat bepaalde theoretische constructies inde praktijk toch wat weerbastiger zijn? Support; als het er werkelijk op aan komt, komt het vrijwel altijd te laat, ongeacht wat je van te voren er voor betaald hebt.
(Het is een "collaboration server", werkt leuk samen met "collaboration client" outlook... maar beide zijn [x] Ongeschikt als emailserver respectievelijk -client. Dus leuk voor je werkgroepje maar je hebt er weinig aan zodra je daarbuiten moet samenwerken, en Echte Emails versturen en ontvangen. Niet dat den modernen mensch het verschil nog weet, maar soit.)
Maar het hangt er allemaal vanaf hoe de configuratie is. Als je een Linux of FreeBSD loadbalancer gebruikt (wat Microsoft gebruikt), dan kun je perfect je IIS webserver hierachter gebruiken. Als je echter geen WAP/WAF hebt draaien op je loadbalancer, maakt dit alleen helemaal niets uit.
Bijvoorbeeld outlook.office365.com gebruikt loadbalancers, waar de netscaler een mogelijkheid is.
Check Hosting History: https://sitereport.netcraft.com/?url=www.microsoft.com
En wat bedoel je hiermee? Het is trouwens een CDN dus verteld niet echt meer wat er achter zit. Is zo te zien een Linux server met een onbekende webserver. Of misschien een proxy server, met daarachter Windows/IIS?
Dus? Wat zegt dat? Men gebruikt daar zo te zien een Linux servers bij. Wat is daar mis mee?
Dat zegt nog steeds niet dat ze direct aan het Internet hangen. Wat er zal hier zeker een loadbalancer voor zitten om de load te verdelen over meerdere servers infrastructuren. Die zullen vast ook iets van WAP of WAF doen.
Prachtig toch? Gebruik de beste software op de beste plek.
Maar om je eigen quote even te gebruiken: Check hosting history https://sitereport.netcraft.com/?url=outlook.office365.com => Microsoft-IIS/10.0
(Het is een "collaboration server", werkt leuk samen met "collaboration client" outlook... maar beide zijn [x] Ongeschikt als emailserver respectievelijk -client. Dus leuk voor je werkgroepje maar je hebt er weinig aan zodra je daarbuiten moet samenwerken, en Echte Emails versturen en ontvangen. Niet dat den modernen mensch het verschil nog weet, maar soit.)
(Het is een "collaboration server", werkt leuk samen met "collaboration client" outlook... maar beide zijn [x] Ongeschikt als emailserver respectievelijk -client. Dus leuk voor je werkgroepje maar je hebt er weinig aan zodra je daarbuiten moet samenwerken, en Echte Emails versturen en ontvangen. Niet dat den modernen mensch het verschil nog weet, maar soit.)
(Het is een "collaboration server", werkt leuk samen met "collaboration client" outlook... maar beide zijn [x] Ongeschikt als emailserver respectievelijk -client. Dus leuk voor je werkgroepje maar je hebt er weinig aan zodra je daarbuiten moet samenwerken, en Echte Emails versturen en ontvangen. Niet dat den modernen mensch het verschil nog weet, maar soit.)
Niet alleen daarbuiten hoor. Moet nu thuis verplicht met Outlook werken (via bedrijfsvpn).Ik heb een uur moeten zoeken hoe je een al verstuurde email opnieuw kan bewerken en versturen.
Klinkt als een User Error
Check Hosting History: https://sitereport.netcraft.com/?url=www.microsoft.com
Daarnaast wat zegt dit precies, misschien een Linux Loadbalancer?
En waarom mag Microsoft geen Linux gebruiken?
Check Hosting History: https://sitereport.netcraft.com/?url=outlook.office365.com => Microsoft-IIS/10.0
Maar ook hier zitten loadbalancer / netscalers tussen.
en dat gaat leeeeeeekkkkkkeeeeerrrrrrrrr NOT!
82% van die wereld is niet up-to-date dude!
Check Hosting History: https://sitereport.netcraft.com/?url=www.microsoft.com
Daarnaast wat zegt dit precies, misschien een Linux Loadbalancer?
En waarom mag Microsoft geen Linux gebruiken?
Check Hosting History: https://sitereport.netcraft.com/?url=outlook.office365.com => Microsoft-IIS/10.0
Maar ook hier zitten loadbalancer / netscalers tussen.
(Het is een "collaboration server", werkt leuk samen met "collaboration client" outlook... maar beide zijn [x] Ongeschikt als emailserver respectievelijk -client. Dus leuk voor je werkgroepje maar je hebt er weinig aan zodra je daarbuiten moet samenwerken, en Echte Emails versturen en ontvangen. Niet dat den modernen mensch het verschil nog weet, maar soit.)
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
