CVE-2020-17144
Microsoft Exchange Server Remote Code Execution Vulnerability
Beschreibung
CVE-2020-17144 ist eine schwerwiegende Remote-Code-Execution-Schwachstelle in Microsoft Exchange Server 2010 mit einem CVSS-3.1-Score von 8.4. Die Schwachstelle besteht, weil Exchange Server Cmdlet-Argumente unzureichend validiert und die Deserialisierung nicht vertrauenswürdiger Daten ermöglicht, was einem authentifizierten Angreifer Remote-Codeausführung erlaubt. Der Angriff kann Sicherheitsgrenzen überschreiten (Changed Scope) und Ressourcen über die verwundbare Exchange-Komponente hinaus kompromittieren. Diese CVE ist im CISA KEV-Katalog mit einer Behebungsfrist bis zum 2022-05-03 gelistet. Der EPSS-Score von 0.92725 (99,75. Perzentile) deutet auf nahezu sichere Ausnutzung hin und platziert sie unter den am aktivsten ausgenutzten Schwachstellen weltweit.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | exchange server | 2010 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2020-17144(Patch, Vendor Advisory)
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-17144(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2020-17144(US Government Resource)
Schwachstellentyp
CWE-502: Deserialisierung nicht vertrauenswürdiger Daten
CVE-2020-17144 wird unter CWE-502 klassifiziert — Deserialisierung nicht vertrauenswürdiger Daten. Diese Schwachstelle tritt auf, wenn eine Anwendung Daten aus einer nicht vertrauenswürdigen Quelle deserialisiert, ohne ordnungsgemäße Validierung oder Bereinigung durchzuführen. Während der Deserialisierung können angreifergesteuerte Daten beliebige Objekte instanziieren, Methoden aufrufen und den Anwendungszustand manipulieren, was häufig zu Remote-Codeausführung führt.
Im Kontext von Microsoft Exchange Server sind Deserialisierungsschwachstellen besonders kritisch, da Exchange komplexe serialisierte Datenstrukturen in Cmdlet-Argumenten und PowerShell-Remoting-Sitzungen verarbeitet. Angreifer können bösartige serialisierte Payloads erstellen, die bei der Verarbeitung durch Exchange beliebigen Code mit den Rechten des Exchange-Dienstkontos ausführen, das typischerweise erhöhte Domänenberechtigungen besitzt.
Mehr erfahren: CWE-502 — Deserialisierung nicht vertrauenswürdiger Daten
Auswirkungsanalyse
Vertraulichkeit (HIGH): Erfolgreiche Ausnutzung gewährt Zugriff auf alle auf dem Exchange-Server gespeicherten E-Mail-Daten, einschließlich sensibler Unternehmenskommunikation, Anhänge, Adressbücher und potenziell zwischengespeicherter Zugangsdaten.
Integrität (HIGH): Ein Angreifer kann Exchange-Konfigurationen ändern, E-Mail-Nachrichten fälschen oder manipulieren, Backdoors installieren und Mail-Flow-Regeln manipulieren, um Kommunikation abzufangen oder umzuleiten.
Verfügbarkeit (HIGH): Eine vollständige Unterbrechung der E-Mail-Dienste ist möglich, einschließlich Denial-of-Service, Datenvernichtung oder Unbrauchbarmachung des Exchange-Servers.
Scope: Die Schwachstelle hat einen Changed Scope (C), was bedeutet, dass die Ausnutzung Ressourcen über die verwundbare Exchange-Server-Komponente hinaus beeinträchtigen kann, potenziell Active Directory, verbundene Systeme und das breitere Unternehmensnetzwerk kompromittierend.
Mit einem EPSS-Score von 0.92725 (99,75. Perzentile) hat diese Schwachstelle eine nahezu sichere Ausnutzungswahrscheinlichkeit in realen Umgebungen.
Exploit-Reifegrad
Exploit-Status: CVE-2020-17144 wird aktiv in der Praxis ausgenutzt und ist im CISA KEV-Katalog gelistet. Öffentlicher Exploit-Code ist verfügbar. Der EPSS-Score von 0.92725 (99,75. Perzentile) bestätigt, dass sie zu den am häufigsten ausgenutzten Schwachstellen weltweit gehört.
Ransomware-Bezug: Nach aktuellem KEV-Stand wurde kein direkter Ransomware-Zusammenhang bestätigt. Exchange-Server-Schwachstellen wurden jedoch massiv von Ransomware-Betreibern und staatlichen Akteuren ins Visier genommen, insbesondere nach den ProxyLogon- und ProxyShell-Kampagnen.
Angriffsfläche: Die Schwachstelle erfordert authentifizierten Zugriff mit hohen Rechten, aber der Changed Scope bedeutet, dass erfolgreiche Ausnutzung die Auswirkungen über Exchange hinaus ausdehnt. Öffentliche Proof-of-Concept-Exploits erhöhen das Risiko einer weit verbreiteten Ausnutzung.
KEV-Frist: Die CISA-Behebungsfrist war der 2022-05-03. Angesichts der kritischen Rolle von Exchange-Servern in der Unternehmensinfrastruktur sollten Organisationen die Behebung als dringende Priorität behandeln.
Behebung
- Microsoft-Sicherheitsupdates umgehend anwenden. Installieren Sie die Dezember-2020-Sicherheitsupdates für Exchange Server 2010 gemäß Microsofts Advisory unter msrc.microsoft.com.
- Von Exchange Server 2010 migrieren. Exchange Server 2010 hat das Ende des Supports am 13. Oktober 2020 erreicht. Planen Sie die sofortige Migration zu Exchange Server 2016, 2019 oder Exchange Online für fortlaufende Sicherheitsupdates.
- Exchange-Administratorzugriff einschränken. Begrenzen Sie die Anzahl der Konten mit Exchange-Administratorrechten. Implementieren Sie Privileged Access Workstations und Just-in-Time-Zugriffskontrollen für die Exchange-Verwaltung.
- Auf Ausnutzungsindikatoren überwachen. Prüfen Sie Exchange-Server-Logs, IIS-Logs und Windows-Ereignisprotokolle auf verdächtige Cmdlet-Ausführung, ungewöhnliche PowerShell-Remoting-Aktivität und Deserialisierungsangriffsindikatoren.
- Netzwerksegmentierung implementieren. Isolieren Sie Exchange-Server von sensiblen internen Netzwerken, um die Auswirkungen des Changed-Scope-Angriffsvektors zu begrenzen.
- Post-Kompromittierungsbewertung durchführen. Angesichts der hohen Ausnutzungswahrscheinlichkeit auditieren Sie Exchange-Server auf Anzeichen vorheriger Kompromittierung, einschließlich Web-Shells, nicht autorisierter Postfachzugriffsregeln und verdächtiger Mail-Flow-Konfigurationen.
Technische Details
Angriffsvektor: NETWORK
Angriffskomplexität: Niedrig
Erforderliche Rechte: Hoch
Benutzerinteraktion: Erforderlich
Technischer Ablauf: Die Schwachstelle besteht, weil Microsoft Exchange Server Cmdlet-Argumente unzureichend validiert, was zur Deserialisierung nicht vertrauenswürdiger Daten führt. Ein authentifizierter Angreifer mit Exchange-Administratorrechten kann speziell gestaltete Cmdlet-Argumente mit bösartigen serialisierten .NET-Objekten erstellen. Wenn Exchange diese Argumente ohne ordnungsgemäße Typvalidierung deserialisiert, wird beliebige Codeausführung im Sicherheitskontext des Exchange-Dienstes erreicht.
Schwachstellenmechanismus: CWE-502 beschreibt die Deserialisierung nicht vertrauenswürdiger Daten. Im Exchange-Kontext ermöglicht dies die Instanziierung beliebiger Objekte und die Ausführung von Code mit den Rechten des Exchange-Dienstkontos, das typischerweise erhöhte Domänenberechtigungen besitzt.
Betroffene Produkte: Microsoft Exchange Server 2010.
CVSS-3.1-Bewertung: Der Score von 8.4 (HOCH) reflektiert den netzwerkbasierten Angriffsvektor mit Changed Scope, was bedeutet, dass die Auswirkungen über die Exchange-Komponente hinausgehen. Die hohen Rechtevoraussetzungen begrenzen die initiale Angriffsfläche, aber Exchange-Administratorzugangsdaten können durch Credential-Diebstahl oder Phishing erlangt werden.
Häufig gestellte Fragen
Wird CVE-2020-17144 aktiv ausgenutzt?
Ja, CVE-2020-17144 wird aktiv in der Praxis ausgenutzt. Die Schwachstelle ist im CISA KEV-Katalog mit einer Behebungsfrist bis zum 2022-05-03 gelistet. Der EPSS-Score von 0.92725 (99,75. Perzentile) bestätigt eine nahezu sichere Ausnutzungswahrscheinlichkeit, was sofortige Behebung kritisch macht.
Welche Produkte sind von CVE-2020-17144 betroffen?
CVE-2020-17144 betrifft Microsoft Exchange Server 2010. Da Exchange 2010 im Oktober 2020 das Ende des Supports erreicht hat, sollten Organisationen, die diese Version noch betreiben, die sofortige Migration auf eine unterstützte Version wie Exchange Server 2016, 2019 oder Exchange Online priorisieren.
Wie behebe ich CVE-2020-17144?
Wenden Sie die Dezember-2020-Sicherheitsupdates von Microsoft für Exchange Server 2010 an. Wichtiger noch: Migrieren Sie auf eine unterstützte Exchange-Server-Version, da Exchange 2010 das Lebensende erreicht hat. Implementieren Sie Netzwerksegmentierung, beschränken Sie den Administratorzugriff und überwachen Sie auf Indikatoren vorheriger Kompromittierung.
Wie schwerwiegend ist CVE-2020-17144?
CVE-2020-17144 ist mit einem CVSS-Score von 8.4 als HOCH eingestuft. Der Changed Scope bedeutet, dass die Ausnutzung Ressourcen über Exchange hinaus beeinträchtigen kann und potenziell das breitere Unternehmensnetzwerk kompromittiert. Mit einem EPSS-Score von 0.92725 (99,75. Perzentile) rangiert sie unter den am häufigsten ausgenutzten Schwachstellen weltweit.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.