Über zwei Sicherheitslücken ist Microsoft Exchange Server angreifbar. Seit Ende 2018 sind die Schwachstellen bekannt. Ein Sicherheitsforscher skizziert in einem Beitrag ein weiteres Angriffszenario. Im Umlauf sind Exploit-Codes und Angriffe sollen aus der Ferne möglich sein. Das Notfallteam des Bundesamt für Sicherheit in der Informationstechnik (BSI) CERT Bund sieht das Risiko als "sehr hoch" an. Zum jetzigen Zeitpunkt hat Microsoft keinen Patch veröffentlicht.

Microsoft beschreibt in einem Sicherheitshinweis CVE-2018-8581 vom 13. November 2018 eine Privilege-Escalation-Lücke in Microsoft Exchange Server (2010 bis 2019). Ein Angreifer kann sich nach Angaben von Microsoft als "anderer Benutzer" ausgeben, wenn er diese Schwachstelle erfolgreich ausnutzt.

Ein Angreifer müsste einen Man-in-the-Middle-Angriff ausführen, um die Schwachstelle auszunutzen. Daraus lässt sich eine Authentifizierungsanforderung an einen Microsoft Exchange Server weiterleiten, um die Darstellung eines anderen Exchange-Benutzers zu ermöglichen. Damit könnte ein Angreifer die Kontrolle über die E-Mails anderer Nutzer auf dem Exchange Server erlangen.

Am 19. Dezember 2018 veröffentlichte die Zero Day Initiative (ZDI) einen Artikel, in dem ein Angriff auf Exchange Server demonstriert wird. Die Basis dafür ist eine weitere Schwachstelle (CVE-2018-8604), die Microsoft mit dem Schweregrade "wichtig" einstuft, aber bezüglich der Ausnutzbarkeit ebenfalls als "wenig wahrscheinlich" ansieht.

(hv, hannover)

(siehe auch Heise News-Ticker:)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE