Tijdens de patchdinsdag van juni heeft Microsoft bijna zeventig kwetsbaarheden verholpen, waaronder een beveiligingslek dat het mogelijk maakt om Exchange-servers over te nemen. De kwetsbaarheid, aangeduid als CVE-2023-32031, maakt het mogelijk voor een geauthenticeerde gebruiker om code met systeemrechten uit te voeren. Daardoor is het mogelijk volledige controle over de Exchange-server te krijgen.

Zoals gezegd is de voorwaarde dat de aanvaller geauthenticeerd moet zijn, wat inhoudt dat die toegang tot bijvoorbeeld een e-mailaccount op de server moet hebben. Deze gegevens kunnen bijvoorbeeld via een phishing- of credential stuffing-aanval worden verkregen. Wat opvalt aan het beveiligingslek is dat het een "bypass" betreft van twee updates (CVE-2022-41082 en CVE-2023-21529) die Microsoft eerder voor kwetsbaarheden in Exchange uitbracht, zo meldt securitybedrijf ZDI.

De impact van de kwetsbaarheid is op een schaal van 1 tot en met 10 beoordeeld met een 8.8. Eerder kwamen zowel Google als ZDI met kritiek op softwareleveranciers, omdat uitgebrachte beveiligingsupdates niet altijd de hoofdoorzaak verhelpen, waardoor de betreffende patch is te omzeilen en gebruikers opnieuw risico lopen.