Exchange-Server werden bereits aktiv angegriffen Zwei neue Zero-Day Exploits in Microsoft Exchange Server

Anbieter zum Thema

PresseBox - unn | UNITED NEWS NETWORK GmbH

Fujitsu Technology Solutions GmbH

Fortra International, Ltd.

Beim Microsoft Exchange Server sind zwei neue Zero-Day Sicherheitslücken aufgetaucht, die es Angreifern ermöglichen remote Code auf den Servern auszuführen. Es gibt aktuell noch keinen Patch, aber wenigstens einen Workaround, um das Problem einigermaßen im Griff zu behalten.

In jüngster Zeit sind wieder zwei Sicherheitslücken in Exchange aufgetaucht, die als Zero-Day-Schwachstellen klassifiziert sind. Die Lücken wurden durch zwei Forscher des Security-Unternehmens GTSC aufgedeckt. Betroffen sind alle Exchange-Versionen ab Exchange Server 2013.

Microsoft warnt vor der Lücke ebenfalls in einem eigenen Blog-Beitrag. Auch hier sind Informationen zu finden, wie Exchange-Server vorübergehend geschützt werden können. Im Blogbeitrag „Analyzing attacks using the Exchange vulnerabilities CVE-2022-41040 and CVE-2022-41082“ geht Microsoft noch tiefer auf das Thema ein und auch das BSI warnt vor den Angriffen und stellt eine Anleitung zur Verfügung, wie die entsprechende URL blockiert werden kann.

Diese Lücken sind nicht theoretischer Natur, sondern werden bereits aktiv ausgenutzt. Die Forscher haben bereits einige infizierte Server gefunden und auch ein Honeypot wurde bereits erfolgreich angegriffen. Besonders gefährdet sind natürlich Exchange-Server, die direkt mit dem Internet verbunden sind und die Autodiscover-Funktion zur Verfügung stellen.

NCSE0Scanner: Security-Produkte erkennen Angriffe noch nicht, es gibt aber einen Scanner

Die meisten Security-Produkte erkennen diese Angriffe noch nicht und es gab vor einigen Tagen auch noch keine CVE-Nummer dafür. Mittlerweile wurden die beiden folgenden Nummern zugewiesen: CVE-2022-41040 und CVE-2022-41082.

Angreifer, die diese Lücken ausnutzen, können remote Code auf den Servern ausführen. Der Zugriff erfolgt dazu mit der Webshell, indem PowerShell-Autodiscover-Anfragen zum Einsatz kommen. Dadurch können Angreifer dauerhaft auf den Exchange-Server zugreifen. Ob ein Exchange-Server bereits angegriffen wurde, lässt sich in der PowerShell mit dem folgenden Befehl überprüfen:

Oder

Auf GitHub stellen die Forscher das Tool „NCSE0Scanner“ zur Verfügung, das erfolgreich angegriffene Server ebenfalls identifizieren kann. Dazu wird der Scanner auf dem Exchange ausgeführt und der Pfad zu den Protokolldateien eingegeben.

Workaround mit URL-Rewrite-Modul gegen Zero-Day-Lücken in Exchange

Der Angriff auf Exchange erfolgt über den IIS, der zwangsläufig in Exchange installiert ist. Die aktuelle Vorgehensweise zum Ausnutzen dieser Lücke lässt sich im IIS blockieren, sodass zumindest die erste Gefahr gebannt werden kann. Für einen ersten Schutz, den die Forscher selbst empfehlen, kommt das URL-Rewrite-Modul im IIS auf dem Exchange zum Einsatz. Dazu muss der String „.*autodiscover\.json.*\@.*Powershell.*“ hinzugefügt und als „Choose {REQUEST_URI}“ hinterlegt werden. Die URL-Sperre „.*autodiscover\.json.*Powershell.*“ ist weiter gefasst und bietet daher mehr Schutz:

• 1. Wählen Sie im für Autodiscover die Registerkarte „URL Rewrite“ und dann „Request Blocking“.

• 2. Fügen Sie die Zeichenfolge „.*autodiscover\.json.*\@.*Powershell.*“ zum URL-Pfad hinzu.

• 3. Als Bedingung wählen Sie {REQUEST_URI}.

• 4. Ein Neustart ist nicht notwendig, die Blockierung ist sofort aktiv.

Eine ausführlichere Anleitung ist auf der Webseite Frankys Web zu finden.

(ID:48649259)