Microsoft heeft deze maand meerdere kwetsbaarheden in Exchange Server verholpen, maar voor één van de beveiligingslekken is een extra handeling van beheerders vereist. Dat laat het techbedrijf in een blogposting en het betreffende beveiligingsbulletin werken. De kwetsbaarheid in kwestie, aangeduid als CVE-2023-21709, maakt het mogelijk voor een ongeauthenticeerde aanvaller om als een andere gebruiker in te loggen.

De impact van de kwetsbaarheid is op een schaal van 1 tot en met 10 beoordeeld met een 9.8. Toch gaat het volgens Microsoft niet om een kritieke kwetsbaarheid, maar één die het label "important" heeft. Het techbedrijf stelt dat bruteforce-aanvallen meestal niet slagen tegen gebruikers met sterke wachtwoorden, maar dat het impactscoremodel geen rekening met dergelijke nuances houdt. "Ik zou deze kwetsbaarheid als kritiek beschouwen en daarnaar handelen", zegt Dustin Childs van het Zero Day Initiative.

Voor het verhelpen van de kwetsbaarheid moeten beheerders niet alleen de beschikbaar gestelde beveiligingsupdate installeren, maar ook een apart script uitvoeren. Daarbij adviseert Microsoft eerst de installatie van de patch en dan het uitvoeren van het script.