Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt vor kritischen Lücken in Microsoft Exchange Server. Zwar liegen bereits Updates für die Anfälligkeiten vor, laut einer Analyse des BSI sollen jedoch Zehntausende in Deutschland betriebene Exchange Server weiterhin ungepatcht sein.
Die ersten beiden Lücken erlauben unter Umständen eine vollständige Kompromittierung eines Exchange Servers beziehungsweise eine nicht autorisierte Ausweitung von Benutzerrechten. Betroffen sind Exchange Server 2010, 2013, 2016 und 2019. Über CVE-2020-16875 lässt sich möglicherweise Schadcode aus der Ferne einschleusen und ausführen, allerdings erst nach vorheriger Authentifizierung. Dafür sind Exchange Server 2016 und 2019 anfällig.
„Die anfälligen Dienste der Microsoft Exchange Server sollten grundsätzlich nicht öffentlich erreichbar sein. Trotzdem sind nach wie vor viele Exchange-Server über Exchange Web Services öffentlich erreichbar und mehrere Tausend Exchange Server anfällig für CVE-2020-0688“, heißt es in der Warnung des BSI. „Die von der Firma Rapid 7 veröffentlichten Zahlen konnten seitens des BSI für Deutschland validiert werden und weisen auf ein Grundproblem bei der sicheren Konfiguration und dem Einspielen kritischer Sicherheitsupdates hin.“
In Zusammenarbeit mit Netzbetreibern informiert das BSI nun die Besitzer von verwundbaren und über das Internet erreichbaren Exchange-Servern. Die Behörde weist zudem darauf hin, dass Exchange 2010 am 13. Oktober den Status End of Support erreicht – Exchange Server 2010 erhält also mit dem Oktober-Patchday letztmalig sicherheitsrelevante Updates.
Die als besonders schwerwiegend eingestufte Schwachstelle CVE-2020-0688 wurde von Microsoft bereits im Februar 2020 geschlossen. Dasselbe gilt für CVE-2020-0692. CVE-2020-16875 wurde indes erst im September gepatcht.
Der von zahlreichen Ländern wegen der Coronakrise eingeführte Lockdown und die damit verbundene soziale Distanzierung haben neue Rekorde im Online-Videoverkehr gebracht. Erfahren Sie in diesem Webinar, wie Sie Daten untersuchen und quantifizieren, um die Belastung von Netzwerken und CDNs einzuschätzen.
Security-as-a-Service aus der Cloud bietet Unternehmen zahlreiche Vorteile, darunter modernste Technologien und automatische Updates.
Telekom und Ericsson validieren spezielle Network-Slicing-Lösung für Unternehmen in Testlauf.
Red Hat Service Interconnect reduziert Komplexität und erhöht die Geschwindigkeit von Entwicklern.
Webex Meetings-Funktionen ermöglichen ab Juli 2023 nahtlose Zusammenarbeit in vielen Audi-Modellen.
Sicherheitstest-Tool identifiziert Benutzer, die Opfer von QR-Code-Phishing-Angriffen werden.
Repräsentative Studie zeigt: Angestellte verbringen wöchentlich fast einen ganzen Tag allein mit Informationssuche.
