Vor wenigen Tagen wurden zwei neue Microsoft Exchange Server-Schwachstellen bekannt, die in einer Reihe von gezielten Angriffen aktiv ausgenutzt werden. Microsoft kann bis dato noch keinen Patch für die Schwachstellen bieten – nur einen Kundenleitfaden.
Bei der ersten Schwachstelle, CVE-2022-41040, handelt es sich um eine Server-Side Request Forgery (SSRF)-Schwachstelle, die Angreifern im Wesentlichen die Tür öffnet, um Zugriff auf den Exchange Server zu erlangen. Die zweite Schwachstelle, CVE_2022-41082, ermöglicht eine Remotecodeausführung (RCE) über PowerShell, sobald sie sich auf dem Server befindet. Auch das vietnamesische Unternehmen GTSC hat diverse Infos zu den Schwachstellen veröffentlicht.
Sophos-Experten haben die Schwachstellen untersucht
Diese Angriffskette ähnelt den ProxyShell-Angriffen des letzten Jahres, und wie bei den letztjährigen Angriffen ist die Security-Industrie auf einen Missbrauch dieser Schwachstellen vorbereitet, nachdem sie nun öffentlich bekannt sind. Um mehr über diese Schwachstellen zu erfahren, gibt es einen Blogpost von Sophos X-Ops mit technischen Erklärungen. Darüber hinaus gibt Chester Wisniewski, Principal Research Scientist bei Sophos, Tipps, wie Systeme geschützt werden können, bis Microsoft den Patch für diese Sicherheitslücken vorbereitet hat (aktuell gibt es einen Kundenleitfaden).
Chester Wisniewski, Principal Research Scientist bei Sophos: „Nachdem Microsoft am Freitag zwei neue Zero-Day-Schwachstellen in Microsoft Exchange bestätigt hat, haben sich Sicherheitsexperten mit den möglichen Auswirkungen und den erforderlichen Maßnahmen befasst, um sich vor einer Ausnutzung zu schützen. Zum jetzigen Zeitpunkt ist nur eine extrem geringe Anzahl von Opfern bekannt, die von dieser Schwachstelle betroffen sind.”
Immer noch keine Patches vorhanden
“Das verschafft uns allen etwas Zeit, um Abhilfemaßnahmen zu implementieren und uns auf Patches vorzubereiten, sobald Microsoft diese zur Verfügung stellt. Für Exchange-Kunden, die auf dem neuesten Stand mit den Patches und Updates vom September 2022 sind, hat Microsoft eine URL-Rewrite-Regel als Abschwächung gegen den bekannten Angriff implementiert, um zu verhindern, dass dieser funktioniert. Leider hat sich gezeigt, dass es trivial ist, diese Abschwächung zu umgehen, so dass wir alle noch auf einen offiziellen Patch warten. IT-Teams sollten sich darauf vorbereiten, den Patch so schnell wie möglich nach der Veröffentlichung anzuwenden.“
Mehr bei Sophos.com
Über Sophos Mehr als 100 Millionen Anwender in 150 Ländern vertrauen auf Sophos. Wir bieten den besten Schutz vor komplexen IT-Bedrohungen und Datenverlusten. Unsere umfassenden Sicherheitslösungen sind einfach bereitzustellen, zu bedienen und zu verwalten. Dabei bieten sie die branchenweit niedrigste Total Cost of Ownership. Das Angebot von Sophos umfasst preisgekrönte Verschlüsselungslösungen, Sicherheitslösungen für Endpoints, Netzwerke, mobile Geräte, E-Mails und Web. Dazu kommt Unterstützung aus den SophosLabs, unserem weltweiten Netzwerk eigener Analysezentren. Die Sophos Hauptsitze sind in Boston, USA, und Oxford, UK.