Microsoft Exchange: BSI warnt vor Sicherheitslücke mit Rechteausweitung
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt mit einer Kurzmitteilung vor einer gefährlichen Sicherheitslücke im Microsoft Exchange Server(öffnet im neuen Fenster) . Die Sicherheitslücke wird als Stufe 5 mit sehr hohem Risiko eingeschätzt. Der Grund für die hohe Klassifizierung ist dem Umstand geschuldet, dass Angreifer in die Lage versetzt werden, sich erweiterte Rechte auf einem Server zu verschaffen. Zudem ist auch schon ein Proof of Concept vorhanden, auf den The Register schon vor dem BSI aufmerksam machte(öffnet im neuen Fenster) . Angriffe werden damit umso wahrscheinlicher.
Der Proof of Concept von Dirk-Jan Mollema(öffnet im neuen Fenster) basiert auf mehreren Sicherheitslücken und Eigenschaften von Exchange-Konfigurationen, die per se nicht falsch sind, aber einen Angriff lohnenswert machen. Laut Mollema haben Exchange-Server in ihrer Standardkonfiguration weitreichende Systemrechte. So können oft Rechte als Domänenadministrator verwendet werden, wenn der Administrator erst einmal gekapert wurde. Zudem verwendete Mollema eine NTLM-Schwachstelle, um in Verbindung mit einer noch nicht geschlossenen Sicherheitslücke der Zero Day Initiative vom Dezember 2018(öffnet im neuen Fenster) zum Erfolg zu kommen.
Interessanterweise gelang es Mollema zwar, Exchange 2013, 2016 und 2019 erfolgreich anzugreifen, doch der Server Exchange 2010 SP3 war gegen den Angriff immun. In seinem Artikel gibt Mollema auch Tipps, um die Auswirkungen eines Angriffes zu minimieren. Dazu gehört etwa, Exchange auf unnötig weitreichende Rechte zu überprüfen.
Es empfiehlt sich zudem, die Signatur von LDAP- und SMB-Kommunikation im Server zu aktivieren. Dies erschwert Relay-Angriffe auf die Infrastruktur. Ob und wann ein Patch kommt, ist bisher nicht bekannt. Eine Stellungnahme, die The Register angefragt hat, lässt aber die Interpretation zu, dass ein Patch schon zum nächsten Patchday erscheinen könnte.