Kritiek lek in Exchange-servers maakt remote code execution via e-mail mogelijk
Een kritieke kwetsbaarheid in Exchange-servers maakt het mogelijk voor aanvallers om systemen over te nemen door alleen het versturen van een speciaal geprepareerde e-mail. Microsoft heeft gisterenavond beveiligingsupdates voor het beveiligingslek uitgebracht, dat op een schaal van 1 tot en met 10 wat betreft de ernst met een 9,1 is beoordeeld.
Tijdens de patchdinsdag van september heeft Microsoft in totaal 129 beveiligingslekken verholpen waarvan er 23 kritiek zijn en "remote code execution" mogelijk maken. Deze kwetsbaarheden bevinden zich in Windows, Dynamics 365, SharePoint, Exchange, Windows, IE11 en Edge. De kwetsbaarheid in Exchange is volgens securitybedrijf ZDI het gevaarlijkst. Een geauthenticeerde aanvaller kan door het versturen van een e-mail code met systeemrechten uitvoeren. Het feit dat de aanvaller geauthenticeerd moet zijn houdt in dat hij op een e-mailaccount moet kunnen inloggen.
Dat blijkt in de praktijk geen obstakel te zijn. Een soortgelijke kwetsbaarheid waarvoor in februari een patch verscheen werd kort na het verschijnen van details actief aangevallen. Ook bij dit beveiligingslek kon een geauthenticeerde aanvaller door het versturen van een e-mail code met systeemrechten uitvoeren. Op deze was het mogelijk om Exchange-servers over te nemen en bijvoorbeeld het e-mailverkeer te onderscheppen en manipuleren. Het ZDI verwacht dat aanvallers op korte termijn misbruik van het nieuwe beveiligingslek zullen maken.
Organisaties worden dan ook oproepen om de beveiligingsupdate voor de Exchange-kwetsbaarheid, aangeduid als CVE-2020-16875, de hoogste prioriteit te geven. Twee andere kritieke kwetsbaarheden die de aandacht verdienen bevinden zich in de Windows Media Audio Decoder. Alleen door het bezoeken van een kwaadaardige of gecompromitteerde website kan een aanvaller willekeurige code uitvoeren. Iets wat ook mogelijk is door een lek in de Windows Codecs Library. In dit geval moet een programma een malafide afbeelding verwerken.
Het grootste deel van de verholpen kwetsbaarheden is als "Belangrijk" beoordeeld. Vier van deze beveiligingslekken bevinden zich in Microsoft Office en zullen waarschijnlijk bij phishingaanvallen worden misbruikt, zo stelt Cisco. Alleen het openen van een kwaadaardig Office-document kan een aanvaller willekeurige code op het systeem laten uitvoeren. De door Microsoft uitgebrachte beveiligingsupdates zullen op de meeste systemen automatisch worden geïnstalleerd.
Is er iemand met voldoende kennis van Exchange die kan aangeven of dit beeld klopt?
Is er iemand met voldoende kennis van Exchange die kan aangeven of dit beeld klopt?
TLDR; alle services.
bron https://docs.microsoft.com/en-us/exchange/plan-and-deploy/deployment-ref/services-overview?view=exchserver-2019
POSHEX
bron https://docs.microsoft.com/en-us/exchange/plan-and-deploy/deployment-ref/services-overview?view=exchserver-2019
POSHEX
Aangezien er alleen maar voor CU16 en CU17 updates zijn uitgebracht (2016)
https://docs.microsoft.com/nl-nl/Exchange/new-features/updates?redirectedfrom=MSDN&view=exchserver-2016
Momenteel ontvangen alleen Exchange Server 2016 CU16 en CU17 beveiligings-updates. Alleen de huidige en de vorige Cumulative Update.
Aangezien er alleen maar voor CU16 en CU17 updates zijn uitgebracht (2016)
Er zal wel in CU16 een fout gezeten hebben die meegegaan is naar 17.. Daarom zal denk ik alleen deze patch voor deze 2 versies zijn.
Aangezien er alleen maar voor CU16 en CU17 updates zijn uitgebracht (2016)
Alleen de laatste 2 CU versies zijn ondersteund. CU15 is dus niet meer ondersteund, en zal geen update voor uitkomen.
Aangezien er alleen maar voor CU16 en CU17 updates zijn uitgebracht (2016)
Alleen de laatste 2 CU versies zijn ondersteund. CU15 is dus niet meer ondersteund, en zal geen update voor uitkomen.
Dit klopt helemaal. Advies is gewoon elk kwartaal de CU installeren (zelf doe dit altijd c.a. 1-2 weken nadat deze uitkomt). Op een LAB omgeving min of meer direct.
De Update installs zijn eigenlijk next-next upgrade installs. Uiteraard, afhankelijk van de omgeving meer of mindere mate complexe zaken waar je rekening mee moet houden en af en toe wat preqs updates die je moet uitvoeren, zoals een paar CUs geleden in Exchange 2019 van .NET 4.7 naar .NET 4.8. Microsoft is met de info hierover altijd wel duidelijk.
Cumulative updates komen elk kwartaal uit, en bevatten ook altijd de updates van de laatste 3 maanden, sinds de release. De nieuwe CU zal over c.a. 2 weken uitkomen.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
