Microsoft Exchange Server: Updates wegen Sicherheitslücken dringend empfohlen

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) rät aktuell dringend dazu, Microsoft Exchange Server auf den neuesten Stand zu bringen. Zwar stünden seit Monaten kritische Sicherheits-Updates zur Verfügung, dennoch habe man festgestellt, dass nach wie vor viele Exchange-Server über Exchange Web Services öffentlich erreichbar und mehrere Tausend Exchange-Server anfällig für eine der Schwachstellen (CVE-2020-0688) seien.

Man komme zu dem Ergebnis, dass zu viele Anwender vorhandene Sicherheits-Updates ignorieren und dadurch unnötige Risiken eingehen. In diesem Fall sei es besonders kritisch zu sehen, da die Lücken sich über das Internet ausnutzen ließen. Zumal der zugehörige Angriffscode veröffentlicht bzw. bereits in bekannte Angriffswerkzeuge integriert wurde. Die notwendigen Sicherheitsupdates für den Exchange-Server seien schon im Februar bereitgestellt worden.

Exchange-Server werden häufig administrativ in das Active Directory integriert. Damit werden Computer-Konten und Service-Accounts mit privilegierten Rechten – vergleichbar mit Domänen-Administratoren – versehen. Ein Angreifer kann daher über die Kompromittierung eines Exchange-Servers somit möglicherweise in den Besitz von Domänen-Administrator-Credentials gelangen und ein Active Directory kompromittieren. Insgesamt ist das also eine Angelegenheit, die man nicht auf die leichte Schulter nehmen sollte.

Das BSI empfiehlt zu prüfen, ob verwundbare Versionen eingesetzt werden und diese schnellstmöglich zu aktualisieren. Weiterhin ist zu prüfen, über welche Protokolle Exchange-Server wirklich über das Internet erreichbar sein müssen. Um das Risiko der Ausnutzung solcher Schwachstellen zu reduzieren, sollte die Erreichbarkeit auf unbedingt notwendige Protokolle und berechtigte Personen sowie über kryptografisch gesicherte Verbindungen beschränkt werden. Man empfiehlt hier auch die Verwendung von VPN-Gateways.

Weiterhin weist das BSI darauf hin, dass Exchange 2010 am 13. Oktober 2020 den End of Support (EoS) erreicht. Ab diesem Zeitpunkt werden keinerlei Sicherheitsupdates mehr zur Verfügung gestellt. Auch das EoS-Datum für Exchange 2013 ist seitens Microsofts für den 11. April 2023 vorgesehen. Um sicherzustellen, dass zukünftig Updates für kritische Sicherheitslücken angewendet werden können, sollten Organisationen, die Exchange 2013 nutzen, zeitnah mit der Migrationsplanung beginnen.

• BSI