CVE-2021-26855
Microsoft Exchange Server Remote Code Execution Vulnerability
Beschreibung
CVE-2021-26855 ist eine kritische Server-Side Request Forgery (SSRF)-Schwachstelle in Microsoft Exchange Server, weithin bekannt als Teil der ProxyLogon-Exploit-Kette. Diese Schwachstelle ermöglicht es einem nicht authentifizierten Angreifer, manipulierte HTTP-Anfragen an einen verwundbaren Exchange Server zu senden und die SSRF-Schwachstelle auszunutzen, um auf interne Dienste zuzugreifen und sensible Daten wie E-Mail-Inhalte zu exfiltrieren. CVE-2021-26855 ist der initiale Einstiegspunkt in der ProxyLogon-Angriffskette, die in Kombination mit anderen Schwachstellen eine vollständige Remotecodeausführung auf dem Exchange Server ermöglicht. Die CISA hat CVE-2021-26855 in ihren Katalog der bekannten ausgenutzten Schwachstellen aufgenommen und die Notfalldirektive 21-02 herausgegeben, was eine weitverbreitete aktive Ausnutzung bestätigt. Mit einem EPSS-Score von 94,31 % (99,95. Perzentil) und bestätigter Ransomware-Nutzung erfordert diese Microsoft Exchange Server-Schwachstelle sofortige Behebung.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | exchange server | 2013; 2016; 2019 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-26855
- http://packetstormsecurity.com/files/161846/Microsoft-Exchange-2019-SSRF-Arbitrary-File-Write.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/161938/Microsoft-Exchange-ProxyLogon-Remote-Code-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/162610/Microsoft-Exchange-2019-Unauthenticated-Email-Download.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/162736/Microsoft-Exchange-ProxyLogon-Collector.html(Exploit, Third Party Advisory, VDB Entry)
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2021-26855(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-26855(US Government Resource)
Schwachstellentyp
CWE-918: Server-Side Request Forgery (SSRF)
Server-Side Request Forgery (SSRF) ist eine Schwachstelle, bei der ein Angreifer die serverseitige Anwendung dazu bringen kann, HTTP-Anfragen an eine beliebige Domäne oder interne Ressource seiner Wahl zu senden. Bei CVE-2021-26855 kann der Microsoft Exchange Server dazu gebracht werden, sich bei beliebigen URLs zu authentifizieren und interne Anfragen weiterzuleiten, wodurch ein nicht authentifizierter Angreifer E-Mails aus Postfächern lesen und auf interne Backend-Dienste zugreifen kann.
Mehr erfahren: CWE-918 — Server-Side Request Forgery (SSRF)
Auswirkungsanalyse
CVE-2021-26855 weist einen CVSS-3.1-Score von 9,1 (KRITISCH) vom Hersteller und 9,8 vom NVD auf, was eine maximale Bedrohung für Microsoft Exchange Server-Bereitstellungen anzeigt. Die Schwachstelle ist über das Netzwerk aus der Ferne mit niedriger Angriffskomplexität ausnutzbar, erfordert keine Authentifizierung und keine Benutzerinteraktion — was sie für jeden Angreifer mit Netzwerkzugang zum Exchange Server trivial ausnutzbar macht. Vertraulichkeit (Hoch): Ein Angreifer kann den vollständigen Inhalt jedes Postfachs auf dem Server lesen, einschließlich sensibler E-Mails, Anhänge und Adressbücher. Integrität (Hoch): In Kombination mit anderen Schwachstellen der ProxyLogon-Kette kann ein Angreifer beliebige Dateien auf den Server schreiben, Web-Shells installieren und Systemkonfigurationen ändern. Der EPSS-Score von 94,31 % und die bestätigte Ransomware-Nutzung zählen CVE-2021-26855 zu den am aktivsten ausgenutzten und gefährlichsten Schwachstellen der jüngeren Geschichte, wobei Massenausnutzungskampagnen weltweit Zehntausende von Organisationen betrafen.
Exploit-Reifegrad
Öffentlicher Exploit-Code ist verfügbar für CVE-2021-26855 über mehrere Quellen, darunter Microsoft Exchange SSRF and Arbitrary File Write, ProxyLogon Remote Code Execution, Unauthenticated Email Download und ProxyLogon Collector. Die CISA hat die aktive Ausnutzung durch die Notfalldirektive 21-02 und den KEV-Katalog bestätigt. Die Ransomware-Nutzung ist als bekannt bestätigt, wobei mehrere Ransomware-Familien ProxyLogon für den initialen Zugang nutzen. Der EPSS-Score von 94,31 % (99,95. Perzentil) zeigt nahezu sichere Ausnutzungsaktivität an. CVE-2021-26855 wird häufig mit CVE-2021-26857, CVE-2021-26858 und CVE-2021-27065 verkettet, um vollständige Remotecodeausführung auf verwundbaren Exchange Servern zu erreichen.
Behebung
- Herstellerpatches sofort anwenden gemäß CISA-Notfalldirektive 21-02: Updates gemäß Herstelleranweisungen anwenden. Microsoft hat im März 2021 außerplanmäßige Sicherheitsupdates für Exchange Server 2013, 2016 und 2019 veröffentlicht.
- Überprüfen Sie, dass alle Microsoft Exchange Server-Instanzen (2013, 2016, 2019) auf die gepatchten kumulativen Updates aktualisiert wurden. Führen Sie das Microsoft Exchange Server Health Checker-Tool (HealthChecker.ps1) aus, um den Patch-Status zu überprüfen und Fehlkonfigurationen zu identifizieren.
- Prüfen Sie auf Kompromittierungsindikatoren, einschließlich Web-Shells in IIS-Verzeichnissen (häufig ASPX-Dateien in Pfaden wie /aspnet_client/), unerwarteter Prozesse, die von w3wp.exe gestartet werden, und anomaler Exchange Server-Protokolleinträge. Microsoft hat das MSERT-Tool und das Test-ProxyLogon.ps1-Skript speziell zur Erkennung von ProxyLogon-Ausnutzung veröffentlicht.
- Falls eine Kompromittierung vermutet wird, gehen Sie davon aus, dass der Angreifer vollen Zugriff auf alle E-Mail-Daten hatte und möglicherweise Persistenz etabliert hat. Führen Sie eine gründliche Incident Response durch, einschließlich Credential-Rotation für alle Konten, Web-Shell-Entfernung und forensischer Analyse der Exchange Server-Protokolle.
- Als langfristige Härtungsmaßnahme schränken Sie den externen Zugang zum Exchange Server auf notwendige Ports ein, implementieren Sie eine Web Application Firewall (WAF) vor dem Exchange Server und erwägen Sie die Migration zu Exchange Online (Microsoft 365), um die On-Premises-Angriffsoberfläche zu reduzieren.
Technische Details
CVE-2021-26855 ist eine Server-Side Request Forgery (SSRF)-Schwachstelle (CWE-918) in den Autodiscover- und OWA-Proxy-Komponenten des Microsoft Exchange Servers. Der Fehler ermöglicht es einem nicht authentifizierten Angreifer, spezifische HTTP-Anfragen zu erstellen, die den Exchange Server dazu bringen, sich zu authentifizieren und Anfragen an beliebige interne Backend-Dienste weiterzuleiten. Der CVSS-Vektorstring (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N) zeigt, dass es sich um einen netzwerkbasierten Angriff handelt, der keine Berechtigungen oder Benutzerinteraktion erfordert, mit hohen Auswirkungen auf Vertraulichkeit und Integrität. Als Teil der ProxyLogon-Kette dient CVE-2021-26855 als initialer SSRF zur Umgehung der Authentifizierung, der dann mit CVE-2021-27065 (einer Schwachstelle für beliebiges Dateischreiben) verkettet wird, um Web-Shells zu installieren und vollständige Remotecodeausführung zu erreichen.
Häufig gestellte Fragen
Wird CVE-2021-26855 aktiv ausgenutzt?
Ja. CVE-2021-26855 (ProxyLogon) ist eine der am weitesten verbreiteten ausgenutzten Schwachstellen der letzten Jahre. Die CISA hat die Notfalldirektive 21-02 speziell für diese Schwachstelle herausgegeben. Die Ransomware-Nutzung ist bestätigt, und Massenausnutzungskampagnen betrafen Zehntausende von Organisationen. Der EPSS-Score von 94,31 % (99,95. Perzentil) zeigt nahezu sichere Ausnutzung an.
Welche Produkte sind betroffen?
CVE-2021-26855 betrifft Microsoft Exchange Server in den Versionen 2013, 2016 und 2019. Exchange Online (Microsoft 365) ist nicht betroffen. Organisationen mit On-Premises Exchange Servern sollten den Patch-Status umgehend mit dem HealthChecker.ps1-Tool überprüfen.
Wie behebe ich CVE-2021-26855?
Wenden Sie die von Microsoft im März 2021 veröffentlichten Notfall-Sicherheitsupdates für Exchange Server 2013, 2016 und 2019 an. Führen Sie Microsofts MSERT-Tool und das Test-ProxyLogon.ps1-Skript aus, um auf Kompromittierungsindikatoren zu prüfen. Falls eine Ausnutzung vermutet wird, führen Sie eine vollständige Incident Response durch, einschließlich Web-Shell-Entfernung und Credential-Rotation.
Wie schwerwiegend ist CVE-2021-26855?
CVE-2021-26855 hat einen CVSS-3.1-Score von 9,1-9,8 (KRITISCH). Sie ist der primäre Einstiegspunkt für die ProxyLogon-Angriffskette, die nicht authentifizierte Remotecodeausführung auf Exchange Servern ermöglicht. Mit bestätigter Ransomware-Nutzung und Massenausnutzung gehört sie zu den kritischsten jemals in Microsoft Exchange entdeckten Schwachstellen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.