CVE-2021-26857
Microsoft Exchange Server Remote Code Execution Vulnerability
Beschreibung
CVE-2021-26857 ist eine hochgradige Sicherheitslücke zur Remotecodeausführung im Microsoft Exchange Server. Diese Schwachstelle ist Teil der ProxyLogon-Exploit-Kette und resultiert aus einer unsicheren Deserialisierungs-Schwäche im Unified-Messaging-Dienst des Exchange Servers. Ein Angreifer, der diesen Deserialisierungsfehler ausnutzt, kann beliebigen Code auf dem Zielserver ausführen. CISA hat diese Schwachstelle in den Katalog der bekannten ausgenutzten Sicherheitslücken (KEV) aufgenommen, bestätigt die aktive Ausnutzung in freier Wildbahn und ordnet sie bekannten Ransomware-Kampagnen zu. Mit einem EPSS-Score von 42,05 % (97,4. Perzentil) stellt CVE-2021-26857 eine erhebliche Bedrohung dar, die sofortige Aufmerksamkeit von Organisationen mit lokalen Exchange-Bereitstellungen erfordert.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | exchange server | 2010; 2013; 2016; 2019 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
Schwachstellentyp
CWE-502: Deserialisierung nicht vertrauenswürdiger Daten
Die Deserialisierung nicht vertrauenswürdiger Daten ist eine Schwachstelle, die auftritt, wenn eine Anwendung Daten aus einer nicht vertrauenswürdigen Quelle ohne ordnungsgemäße Validierung deserialisiert. Im Kontext von CVE-2021-26857 deserialisiert der Unified-Messaging-Dienst des Microsoft Exchange Servers vom Angreifer kontrollierte Daten, wodurch die Ausführung beliebigen Codes als SYSTEM auf dem Exchange-Server ermöglicht wird. Diese Deserialisierungs-Schwäche ist eine kritische Komponente der ProxyLogon-Angriffskette.
Mehr erfahren: CWE-502 — Deserialisierung nicht vertrauenswürdiger Daten
Auswirkungsanalyse
CVE-2021-26857 weist einen CVSS-3.1-Score von 7,8 (HOCH) auf, was eine erhebliche Sicherheitsbedrohung für betroffene Exchange-Server-Bereitstellungen darstellt. Obwohl der Angriffsvektor als lokal mit erforderlicher Benutzerinteraktion klassifiziert ist, wird diese Schwachstelle typischerweise mit anderen ProxyLogon-Schwachstellen (CVE-2021-26855, CVE-2021-26858, CVE-2021-27065) verkettet, um eine vollständige Remote-Ausnutzung zu erreichen. Vertraulichkeit (Hoch): Eine erfolgreiche Ausnutzung gewährt Zugriff auf alle E-Mail-Daten, Anmeldedaten und sensible Informationen auf dem Exchange-Server. Integrität (Hoch): Angreifer können Postfachinhalte ändern, Web-Shells installieren und Exchange-Konfigurationen manipulieren. Verfügbarkeit (Hoch): Eine Kompromittierung kann zu vollständigem Dienstausfall, Datenexfiltration und der Bereitstellung von Ransomware führen. Die Zuordnung zu bekannten Ransomware-Kampagnen erhöht das Risiko erheblich, da Bedrohungsakteure die ProxyLogon-Kette für die Verbreitung von DearCry und anderen Ransomware-Varianten gegen ungepatchte Exchange-Server verwendet haben.
Exploit-Reifegrad
CVE-2021-26857 ist Teil der weitverbreitet ausgenutzten ProxyLogon-Angriffskette, die weltweit Microsoft Exchange Server ins Visier nahm. CISA hat die aktive Ausnutzung in freier Wildbahn bestätigt und diese Schwachstelle bekannten Ransomware-Kampagnen zugeordnet, was sie zu einem vorrangigen Behebungsziel macht. Der EPSS-Score von 42,05 % (97,4. Perzentil) deutet auf eine hohe Ausnutzungswahrscheinlichkeit hin. Die ProxyLogon-Kette (bestehend aus CVE-2021-26855 für den initialen SSRF-Zugriff, CVE-2021-26857 für die deserialisierungsbasierte Codeausführung und CVE-2021-26858/CVE-2021-27065 für das Schreiben beliebiger Dateien) wurde umfassend dokumentiert und von mehreren Bedrohungsgruppen als Waffe eingesetzt. CISA hat die Notfalldirektive 21-02 speziell zur Adressierung dieser Schwachstellenkette erlassen.
Behebung
- Herstellerpatches sofort anwenden gemäß CISA-KEV-Vorgabe und Notfalldirektive 21-02: Updates gemäß Herstelleranweisungen durchführen. Microsoft hat kumulative Sicherheitsupdates für alle unterstützten Exchange-Server-Versionen veröffentlicht.
- Alle Instanzen von Microsoft Exchange Server (2010, 2013, 2016, 2019) auf die neuesten gepatchten kumulativen Updates aktualisieren. Die Patch-Installation mit dem Exchange Server Health Checker überprüfen.
- Falls ein sofortiges Patching nicht möglich ist, den Exchange-Server offline nehmen oder vom Netzwerk trennen, bis Patches angewendet werden können. Den Unified-Messaging-Dienst deaktivieren, sofern er nicht benötigt wird, da er die spezifische Angriffsfläche für diese Deserialisierungsschwachstelle darstellt.
- Eine gründliche forensische Untersuchung der Exchange-Server auf Kompromittierungsindikatoren durchführen, einschließlich Web-Shells in IIS-Verzeichnissen, verdächtiger w3wp.exe-Kindprozesse und nicht autorisierter Änderungen an der Exchange-Konfiguration. Die CISA-ED-21-02-Richtlinie unter https://www.cisa.gov/news-events/directives/ed-21-02-mitigate-microsoft-exchange-premises-product-vulnerabilities konsultieren.
- Langfristige Härtungsmaßnahmen implementieren, einschließlich Netzwerksegmentierung für Exchange-Server, strikter Eingabevalidierung an allen Deserialisierungsendpunkten, regelmäßiger Sicherheitsaudits der Exchange-Konfigurationen und der Erwägung einer Migration zu Exchange Online zur Reduzierung der lokalen Angriffsfläche.
Technische Details
CVE-2021-26857 nutzt eine unsichere Deserialisierungs-Schwäche (CWE-502) im Unified-Messaging-Dienst des Microsoft Exchange Servers aus. Die Schwachstelle ermöglicht es einem Angreifer, böswillig manipulierte serialisierte Daten an den Unified-Messaging-Dienst zu übermitteln, die ohne ordnungsgemäße Validierung deserialisiert werden, was zur Ausführung beliebigen Codes als SYSTEM führt. Der CVSS-Vektor (CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H) zeigt lokalen Zugriff mit erforderlicher Benutzerinteraktion an, aber in der Praxis wird diese Schwachstelle mit CVE-2021-26855 (einer Server-Side-Request-Forgery-Schwachstelle) verkettet, um eine nicht authentifizierte Remote-Ausnutzung zu erreichen. Die kombinierte ProxyLogon-Kette ermöglicht es einem Angreifer, sich als Exchange-Server zu authentifizieren, den Deserialisierungsfehler für die Codeausführung auszunutzen und dann CVE-2021-26858 oder CVE-2021-27065 zu verwenden, um beliebige Dateien auf die Festplatte zu schreiben und persistenten Zugriff über Web-Shells zu erlangen.
Häufig gestellte Fragen
Wird CVE-2021-26857 aktiv ausgenutzt?
Ja. CVE-2021-26857 ist im CISA-Katalog der bekannten ausgenutzten Sicherheitslücken (KEV) gelistet und wird bekannten Ransomware-Kampagnen zugeordnet. Die Schwachstelle ist Teil der ProxyLogon-Exploit-Kette, die weltweit massiv gegen Microsoft Exchange Server ausgenutzt wurde. CISA hat die Notfalldirektive 21-02 speziell zur Adressierung dieser Schwachstelle erlassen.
Welche Produkte sind betroffen?
CVE-2021-26857 betrifft Microsoft Exchange Server in den Versionen 2010, 2013, 2016 und 2019. Alle lokalen Exchange-Bereitstellungen, die diese Versionen ohne die Sicherheitsupdates betreiben, sind verwundbar.
Wie behebe ich CVE-2021-26857?
Die von Microsoft bereitgestellten kumulativen Sicherheitsupdates sofort anwenden. Die Patch-Installation mit dem Exchange Server Health Checker überprüfen. Falls ein sofortiges Patching nicht möglich ist, den Exchange-Server vom Netzwerk trennen und den Unified-Messaging-Dienst deaktivieren. Eine forensische Untersuchung auf Kompromittierungsindikatoren gemäß CISA-ED-21-02-Richtlinie durchführen.
Wie schwerwiegend ist CVE-2021-26857?
CVE-2021-26857 hat einen CVSS-3.1-Score von 7,8 (HOCH). Der Schweregrad wird durch die Zugehörigkeit zur ProxyLogon-Exploit-Kette und die Zuordnung zu Ransomware-Kampagnen erheblich verstärkt. Der EPSS-Score von 42,05 % (97,4. Perzentil) bestätigt eine hohe Ausnutzungswahrscheinlichkeit. Eine sofortige Behebung ist unerlässlich.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.