Alert!

Zero-Day-Attacken auf Microsoft Exchange Server – Sicherheitspatches fehlen

Aufgrund von Angriffen und bislang fehlenden Patches sollten Admins Exchange Server über einen Workaround absichern.

Lesezeit: 2 Min.
In Pocket speichern
vorlesen Druckansicht Kommentare lesen 150 Beiträge

(Bild: solarseven/Shutterstock.com)

Update
Von
  • Dennis Schirrmacher

Sicherheitsforscher warnen, dass Angreifer derzeit zwei Zero-Day-Lücken in Microsoft Exchange Server ausnutzen. Sicherheitsupdates sind bislang nicht verfügbar. Es gibt aber einen Workaround.

Auf die Attacken sind Sicherheitsforscher von GTSC gestoßen. Ihre Erkenntnisse haben sie in einem Bericht zusammengefasst. Ihnen zufolge sollen Angreifer aus dem chinesischen Umfeld Exchange Server erfolgreich attackieren und sich über Hintertüren in Systemen einnisten. Nach erfolgreichen Attacken sei die Ausführung von Schadcode möglich. Außerdem diene die erarbeitete Position als Ausgangspunkt zur Ausbreitung in weitere Systeme.

Mittlerweile haben weitere Sicherheitsforscher, darunter auch Trend Micros Zero Day Initiative (ZDI), die Lücken und Attacken bestätigt. Microsoft hat bislang keine Stellung bezogen.

Update

Mittlerweile hat Microsoft die Sicherheitslücken (CVE-2022-41040, CVE-2022-41082) bestätigt. In einem Bericht spricht der Konzern von "begrenzten gezielten Attacken". Online-Kunden von Exchange sollen nicht betroffen sein. Im Bericht führen sie aus, wie Premises-Kunden ihre Server absichern können.

Details zu den Sicherheitslücken sind bislang kaum verfügbar. CVE-Nummern sind zum jetzigen Zeitpunkt nicht vergeben. Die ZDI stuft die Lücken mit einem CVSS Score von 8.8 (ZDI-CAN-18333 und 6.3 (ZDI-CAN-18802) ein. Attacken sollen ähnlich wie bei ProxyShell im Sommer 2021 ablaufen.

Update

Den Sicherheitsforschern zufolge fanden die dokumentierten Attacken auf Systemen statt, die vollständig gegen ProxyShell gepatcht sind.

Wann Sicherheitspatches erscheinen, ist noch unklar. Um Systeme aber jetzt schon zu schützen, haben die Sicherheitsforscher von GTSC einen temporären Workaround entwickelt, um Anfragen zum Einleiten der Attacke zu blocken. Dafür müssen Admins unter Autodiscover im Tab URL Rewrite eine Request-Blocking-Regel mit dem Inhalt

.*autodiscover\.json.*\@.*Powershell.*

im URL Path erstellen. Als Condition input müssen sie {REQUEST_URI} wählen.

Mit folgendem PowerShell-Kommando können Admins prüfen, ob Server bereits kompromittiert sind.

Get-ChildItem -Recurse -Path <Path_IIS_Logs> -Filter "*.log" | Select-String -Pattern 'powershell.*autodiscover\.json.*\@.*200'

Update

Microsoft hat inzwischen ein Shell-Skript veröffentlicht, mit dem der Workaround auf betroffenen Servern eingespielt werden kann.

(des)