BSI warnt vor kritischen Lücken in Exchange Server

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt vor kritischen Lücken in Microsoft Exchange Server. Zwar liegen bereits Updates für die Anfälligkeiten vor, laut einer Analyse des BSI sollen jedoch Zehntausende in Deutschland betriebene Exchange Server weiterhin ungepatcht sein.

Der Behörde geht es vor allem um die Schwachstellen mit den Kennungen CVE-2020-0688, CVE-2020-0692 und CVE-2020-16875, für die zum Teil bereits Exploit-Code öffentlich verfügbar ist. CVE-2020-0688 soll bereits für gezielte Angriffe ausgenutzt werden.

Die ersten beiden Lücken erlauben unter Umständen eine vollständige Kompromittierung eines Exchange Servers beziehungsweise eine nicht autorisierte Ausweitung von Benutzerrechten. Betroffen sind Exchange Server 2010, 2013, 2016 und 2019. Über CVE-2020-16875 lässt sich möglicherweise Schadcode aus der Ferne einschleusen und ausführen, allerdings erst nach vorheriger Authentifizierung. Dafür sind Exchange Server 2016 und 2019 anfällig.

„Die anfälligen Dienste der Microsoft Exchange Server sollten grundsätzlich nicht öffentlich erreichbar sein. Trotzdem sind nach wie vor viele Exchange-Server über Exchange Web Services öffentlich erreichbar und mehrere Tausend Exchange Server anfällig für CVE-2020-0688“, heißt es in der Warnung des BSI. „Die von der Firma Rapid 7 veröffentlichten Zahlen konnten seitens des BSI für Deutschland validiert werden und weisen auf ein Grundproblem bei der sicheren Konfiguration und dem Einspielen kritischer Sicherheitsupdates hin.“

In Zusammenarbeit mit Netzbetreibern informiert das BSI nun die Besitzer von verwundbaren und über das Internet erreichbaren Exchange-Servern. Die Behörde weist zudem darauf hin, dass Exchange 2010 am 13. Oktober den Status End of Support erreicht – Exchange Server 2010 erhält also mit dem Oktober-Patchday letztmalig sicherheitsrelevante Updates.

Die als besonders schwerwiegend eingestufte Schwachstelle CVE-2020-0688 wurde von Microsoft bereits im Februar 2020 geschlossen. Dasselbe gilt für CVE-2020-0692. CVE-2020-16875 wurde indes erst im September gepatcht.

ANZEIGE

So reagieren Sie auf die gestiegene Nachfrage von Online-Videos – Wichtige Erkenntnisse und Trends

Der von zahlreichen Ländern wegen der Coronakrise eingeführte Lockdown und die damit verbundene soziale Distanzierung haben neue Rekorde im Online-Videoverkehr gebracht. Erfahren Sie in diesem Webinar, wie Sie Daten untersuchen und quantifizieren, um die Belastung von Netzwerken und CDNs einzuschätzen.

Stefan Beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

Aukey-Webcam PC-LM1E mit 1080P ausprobiert

Mit der PC-LM1E bietet Aukey eine USB-Webcam mit einer Auflösung von maximal 1080P. Die Übertragungsrate…

14 Stunden ago

GitHub schließt von Google entdeckte Zero-Day-Lücke

Die Microsoft-Tochter verpasst die Frist von 90 Tagen sowie die von Google gewährte Verlängerung von…

14 Stunden ago

Apples Head of Global Security wegen Bestechung angeklagt

Er soll Polizeibeamten eine Spende über 200 iPads als Gegenleistung für eine Waffenlizenz geboten haben.…

16 Stunden ago

VMware warnt vor kritischer Zero-Day-Lücke in Workspace One

Sie ermöglicht eine Code-Ausführung außerhalb der virtuellen Umgebung. Ein Angreifer benötigt allerdings gültige Anmeldedaten. VMware…

18 Stunden ago

Malware verwandelt gehackte WordPress-Websites in betrügerische Online-Shops

Cyberkriminelle kapern die Websites per Brute Force. Anschließend schleusen sie Schadcode ein, der schließlich statt…

20 Stunden ago

Kontoübername mit einem Klick: TikTok schließt schwerwiegende Sicherheitslücke

Ein unabhängiger Sicherheitsforscher kombiniert zwei Fehler zu einem Exploit. Betroffen ist die TikTok-Website. Der Forscher…

21 Stunden ago