Wichtiges Sicherheitsupdate: Microsoft Exchange Server

Am 02. März (Ortszeit Redmond: UTC-8) wurden von Microsoft mehrere Sicherheitslücken in den Exchange Server Editionen 2010 bis 2019 bekannt gegeben. Mit der Veröffentlichung wurde auch ein Sicherheitsupdate für die insgesamt vier Schwachstellen bereitgestellt. Die Sicherheitslücken CVE-2021-26855, CVE-2021-26857, CVE-2021-26858 und CVE-2021-27065 werden von den Angreifern als Teil einer Angriffskette ausgenutzt.

Die Bedrohungsstufe wird vom BSI (Bundesamt für Sicherheit in der Informationstechnik) mit der höchsten Stufe 4/Rot eingeschätzt. Dabei können auf lokalen Exchange-Servern E-Mails gestohlen werden, Daten heruntergeladen werden sowie Computer und ganze Netzwerke mit Malware befallen werden. 

Wir möchten hiermit explizit unsere Kunden und potenziell gefährdete Unternehmen explizit warnen, das Sicherheitsupdate/Patch wie unten genannt durchzuführen und zu prüfen, ob gegebenenfalls Server bereits betroffen sind.

Betroffene Exchange Server Versionen:

• Exchange 2010 
• Exchange 2013, 16, 2019 
• Exchange Online ist nicht betroffen.  

Gerne unterstützen wir Sie bei den Updates und notwendigen Patches, kommen Sie gerne auf uns zu. Sowohl Ihr direkter Ansprechpartner bei IT-HAUS, als auch weitere Kollegen sind geschult und helfen Ihnen bei der Umsetzung und Sicherheitsrisiko-Intervention.

Wir empfehlen folgende Vorgehensweise:

1. Implementieren Sie Updates auf den betroffenen Exchange-Servern. 

Die benötigten Updates stehen hier zum Download bereit:
https://techcommunity.microsoft.com/t5/exchange-team-blog/released-march-2021-exchange-server-security-updates/ba-p/2175901

2. Untersuchen Sie die Umgebung auf Angriffe oder Indikatoren. 

Hier geht es zu den Microsoft Exchange Log Files, um eine Kompromittierung oder Manipulation festzustellen: https://www.microsoft.com/security/blog/2021/03/02/hafnium-targeting-exchange-servers/#scan-log

Wenn Sie Anzeichen für eine Kompromittierung finden (z. B. in Exchange-Anwendungsprotokollen), stellen Sie sicher, dass Sie die Protokolle aufbewahren, und verwenden Sie die Details wie Zeitstempel und Quell-IPs für die weitere Untersuchung.

3. Beheben Sie alle identifizierten Angriffe und untersuchen Sie Ihre Umgebung auf Anzeichen für laterale Bewegungen oder weitere Kompromittierungen.

4. Kunden von Microsoft Defender und Microsoft Defender for Endpoint sollten sich vergewissern, dass sie auf dem neuesten Security Intelligence-Patch sind.

5. Bei Fragen kontaktieren Sie gerne Ihren IT-HAUS Ansprechpartner. 

Gerne können Sie uns im Bedarfsfall zum Sicherheitsupdate kontaktieren!