CVE-2020-0688
Microsoft Exchange Server Validation Key Remote Code Execution Vulnerability
Beschreibung
CVE-2020-0688 ist eine schwerwiegende (HIGH) Remote-Code-Execution-Schwachstelle in Microsoft Exchange Server mit einem CVSS-3.1-Score von 8,8. Microsoft Exchange Server verwendet statische Validierungsschlüssel, die bei allen Installationen identisch sind, wodurch ein authentifizierter Angreifer Deserialisierungsfehler im Exchange Control Panel (ECP) ausnutzen kann, um beliebigen Code mit SYSTEM-Rechten auszuführen. Dies geschieht, weil die ViewState-Daten im ECP mit dem bekannten, fest kodierten Validierungsschlüssel deserialisiert werden können. Betroffen sind Microsoft Exchange Server 2010 bis 2019. Diese CVE ist im CISA-Katalog bekannter ausgenutzter Schwachstellen (KEV) gelistet mit einer Behebungsfrist bis zum 03.05.2022. Mit einem EPSS-Score von 0,94396 (99,97. Perzentil) weist diese Schwachstelle eine extrem hohe reale Ausnutzungswahrscheinlichkeit auf und erfordert sofortige Behebung. Für diese Schwachstelle bestehen bekannte Ransomware-Verbindungen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | exchange server | 2010; 2013; 2016; 2019 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/156592/Microsoft-Exchange-2019-15.2.221.12-Remote-Code-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/156620/Exchange-Control-Panel-Viewstate-Deserialization.html(Exploit, Third Party Advisory, VDB Entry)
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-0688(Patch, Vendor Advisory)
- https://www.zerodayinitiative.com/advisories/ZDI-20-258/(Third Party Advisory, VDB Entry)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2020-0688(US Government Resource)
Schwachstellentyp
CWE-287: Improper Authentication
CVE-2020-0688 wird unter CWE-287 — Improper Authentication klassifiziert. Diese Schwäche tritt auf, wenn Software die Identitätsansprüche nicht ausreichend überprüft und es unbefugten Benutzern ermöglicht, Zugriff zu erlangen oder unerlaubte Aktionen durchzuführen. Im Kontext von Microsoft Exchange Server bedeutet die Verwendung statischer, nicht-einmaliger kryptografischer Validierungsschlüssel über alle Installationen hinweg, dass jeder Angreifer, der diese öffentlich bekannten Schlüssel kennt, Authentifizierungs-Token für das Exchange Control Panel fälschen kann. Dies umgeht effektiv die Authentifizierungsschutzmechanismen, die eine unbefugte Deserialisierung von ViewState-Daten verhindern sollten.
Diese Schwäche ist besonders gefährlich in Enterprise-E-Mail-Infrastrukturen, da Exchange Server häufig über erhöhte Netzwerkprivilegien und Zugriff auf sensible Organisationsdaten verfügt. Ein Angreifer, der sich mit einem gering privilegierten Exchange-Postfach-Konto authentifizieren kann, kann den statischen Validierungsschlüssel nutzen, um auf SYSTEM-Ebene Code auszuführen.
Mehr erfahren: CWE-287 — Improper Authentication
Auswirkungsanalyse
CVE-2020-0688 hat einen CVSS-3.1-Score von 8,8 (HIGH) mit unverändertem Scope.
Vertraulichkeit (HIGH): Eine erfolgreiche Ausnutzung gewährt dem Angreifer SYSTEM-Zugriff auf den Exchange Server und legt alle E-Mail-Daten, Active-Directory-Anmeldedaten und sensible Konfigurationsinformationen offen.
Integrität (HIGH): Mit SYSTEM-Rechten kann ein Angreifer E-Mail-Nachrichten manipulieren, Exchange-Konfigurationen ändern, Backdoors installieren, zusätzliche Konten erstellen und Audit-Protokolle verändern.
Verfügbarkeit (HIGH): Eine vollständige Unterbrechung der E-Mail-Dienste ist möglich. Angreifer können Ransomware einsetzen, Postfachdatenbanken löschen, Exchange-Dienste beenden oder den Server funktionsunfähig machen.
Scope unverändert: Die Auswirkungen der Ausnutzung sind auf die Exchange-Server-Komponente begrenzt, obwohl laterale Bewegung von einem kompromittierten Exchange Server eine gängige Post-Exploitation-Technik ist.
Mit einem EPSS-Score von 0,94396 (99,97. Perzentil) gehört diese Schwachstelle zu den am häufigsten ausgenutzten. Die Ransomware-Verbindung verstärkt die Dringlichkeit der Behebung zusätzlich.
Exploit-Reifegrad
CVE-2020-0688 hat bestätigte aktive Ausnutzung in freier Wildbahn und ist im CISA-Katalog bekannter ausgenutzter Schwachstellen gelistet.
Exploit-Status: Mehrere öffentliche Exploits sind verfügbar, darunter Metasploit-Module und eigenständige Proof-of-Concept-Skripte. Die Schwachstelle wurde im Februar 2020 offengelegt und wird seither von APT-Gruppen und Cyberkriminellen breit ausgenutzt. Die Ausnutzung erfordert lediglich gültige Exchange-Postfach-Anmeldedaten (auch ein gering privilegiertes Konto genügt).
Ransomware-Verbindung: Diese Schwachstelle hat bestätigte Ransomware-Verbindungen. Bedrohungsakteure haben CVE-2020-0688 als initialen Zugriffsvektor genutzt, um Ransomware in Unternehmensumgebungen einzusetzen.
Angriffsfläche: Das Exchange Control Panel ist über das Netzwerk erreichbar (typischerweise HTTPS auf Port 443), wodurch die Schwachstelle für jeden authentifizierten Benutzer aus der Ferne ausnutzbar ist. Die statischen Validierungsschlüssel sind öffentlich dokumentiert, was die Ausnutzungshürde erheblich senkt.
KEV-Frist: CISA forderte Bundesbehörden auf, diese Schwachstelle bis zum 03.05.2022 zu beheben. Alle Organisationen sollten diese Frist als dringende Empfehlung für ihre eigene Behebung betrachten.
Behebung
- Herstellerpatches sofort anwenden. Wenden Sie Updates gemäß den Herstelleranweisungen an. Installieren Sie die Sicherheitsupdates für Microsoft Exchange Server vom Februar 2020 gemäß dem Microsoft Security Advisory.
- Betroffene Produktversionen identifizieren. Identifizieren Sie alle Instanzen von Microsoft Exchange Server 2010, 2013, 2016 und 2019 in Ihrer Infrastruktur. Nutzen Sie Schwachstellenscanner und Asset-Management-Systeme für vollständige Abdeckung.
- Validierungsschlüssel nach dem Patchen rotieren. Überprüfen Sie nach der Patch-Installation, dass neue, einzigartige Validierungsschlüssel für jede Exchange-Server-Installation generiert wurden.
- Exchange-Postfachkonten überprüfen. Da die Ausnutzung gültige Postfach-Anmeldedaten erfordert, überprüfen Sie alle Exchange-Konten auf verdächtige Aktivitäten. Implementieren Sie Multi-Faktor-Authentifizierung für den Exchange-Zugriff.
- Auf Anzeichen früherer Ausnutzung prüfen. Angesichts der weit verbreiteten Ausnutzung überprüfen Sie Exchange-Server-Protokolle, IIS-Protokolle und Sicherheitsereignisprotokolle auf Kompromittierungsindikatoren.
- Netzwerksegmentierung implementieren. Beschränken Sie den direkten Internetzugriff auf das Exchange Control Panel, wo möglich. Setzen Sie Web Application Firewalls und Reverse Proxies ein.
Technische Details
CVE-2020-0688 ist eine schwerwiegende Schwachstelle in Microsoft Exchange Server, die aus der Ferne über das Netzwerk ausnutzbar ist. Die Angriffskomplexität ist niedrig und erfordert lediglich einen authentifizierten Exchange-Postfachbenutzer. Keine Benutzerinteraktion ist erforderlich.
Technischer Mechanismus: Microsoft Exchange Server-Installationen teilen identische kryptografische Validierungsschlüssel (validationKey und decryptionKey) in der web.config-Datei des Exchange Control Panels (ECP). Diese Schlüssel werden zur Signierung und Validierung von ASP.NET-ViewState-Daten verwendet. Da die Schlüssel statisch und bei allen Installationen identisch sind, kann ein authentifizierter Angreifer eine bösartige serialisierte ViewState-Payload erstellen, mit dem bekannten Schlüssel signieren und an das ECP senden. Die ASP.NET-Laufzeitumgebung deserialisiert diese Payload mit SYSTEM-Rechten.
CVSS-3.1-Vektoranalyse: Der Vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H zeigt einen Angriffsvektor NETWORK, Angriffskomplexität LOW, benötigte Privilegien LOW (gültige Postfach-Anmeldedaten), Benutzerinteraktion NONE, Scope UNCHANGED und Auswirkungsbewertungen HIGH für Vertraulichkeit, Integrität und Verfügbarkeit.
Häufig gestellte Fragen
Wird CVE-2020-0688 aktiv ausgenutzt?
Ja, CVE-2020-0688 hat bestätigte aktive Ausnutzung in freier Wildbahn und ist im CISA-Katalog bekannter ausgenutzter Schwachstellen gelistet. Mehrere öffentliche Exploit-Tools und Metasploit-Module sind verfügbar. APT-Gruppen und Ransomware-Betreiber nutzen diese Schwachstelle als initialen Zugriffsvektor. Der EPSS-Score von 0,94396 (99,97. Perzentil) bestätigt extrem hohe Ausnutzungsaktivität.
Welche Produkte sind von CVE-2020-0688 betroffen?
Microsoft Exchange Server 2010 Service Pack 3, Exchange Server 2013, Exchange Server 2016 und Exchange Server 2019 sind betroffen. Alle ungepatchten Installationen teilen dieselben statischen Validierungsschlüssel. Organisationen sollten ihre Exchange-Server-Versionen und Patch-Stände überprüfen.
Wie behebe ich CVE-2020-0688?
Wenden Sie die Sicherheitsupdates für Microsoft Exchange Server vom Februar 2020 gemäß dem Microsoft Security Response Center Advisory an. Überprüfen Sie nach dem Patchen, dass einzigartige Validierungsschlüssel generiert wurden. Prüfen Sie Exchange-Konten auf Kompromittierungsanzeichen und implementieren Sie Multi-Faktor-Authentifizierung.
Wie schwerwiegend ist CVE-2020-0688?
CVE-2020-0688 wird mit HIGH und einem CVSS-3.1-Score von 8,8 bewertet. Mit einem EPSS-Score von 0,94396 (99,97. Perzentil) gehört sie zu den am häufigsten ausgenutzten Schwachstellen. Sie hat bestätigte Ransomware-Verbindungen und ermöglicht Remote-Code-Execution auf SYSTEM-Ebene mit nur gering privilegierten Postfach-Anmeldedaten.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.