CVE-2021-26858
Microsoft Exchange Server Remote Code Execution Vulnerability
Beschreibung
CVE-2021-26858 ist eine hochgradige Remotecodeausführungsschwachstelle in Microsoft Exchange Server, die Teil der ProxyLogon-Exploit-Kette ist. Diese Schwachstelle ermöglicht es einem authentifizierten Angreifer, beliebige Dateien auf den Exchange Server zu schreiben, was zur Ausführung von Schadcode genutzt werden kann. In Kombination mit CVE-2021-26855 (der SSRF-Schwachstelle, die nicht authentifizierten Zugang ermöglicht) erlaubt CVE-2021-26858 Angreifern eine vollständige Serverübernahme ohne gültige Anmeldedaten. Die CISA hat CVE-2021-26858 in ihren Katalog der bekannten ausgenutzten Schwachstellen aufgenommen und in die Notfalldirektive 21-02 einbezogen, was die aktive Ausnutzung bestätigt. Mit einem EPSS-Score von 55,06 % (98,0. Perzentil) und bestätigter Ransomware-Nutzung erfordert diese Exchange Server-Schwachstelle sofortige Patch-Anwendung.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | exchange server | 2010; 2013; 2016; 2019 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
Schwachstellentyp
CWE-NVD-noinfo: Unzureichende Informationen
Der spezifische Schwachstellentyp für CVE-2021-26858 wurde vom NVD nicht über die allgemeine Klassifizierung als Remotecodeausführungsschwachstelle hinaus formal kategorisiert. Der zugrunde liegende Mechanismus umfasst eine beliebige Dateischreib-Fähigkeit in Exchange Server, die einem authentifizierten Angreifer ermöglicht, Dateien in jeden Pfad auf dem Server zu schreiben, um Web-Shells oder andere schädliche Payloads zu installieren.
Mehr erfahren: Microsoft Security Advisory für CVE-2021-26858
Auswirkungsanalyse
CVE-2021-26858 weist einen CVSS-3.1-Score von 7,8 (HOCH) auf, was eine erhebliche Sicherheitsbedrohung für Microsoft Exchange Server-Umgebungen darstellt. Während der Angriffsvektor als lokal klassifiziert ist und keine Authentifizierung erfordert, ist Benutzerinteraktion für die Ausnutzung notwendig. Vertraulichkeit (Hoch): Eine erfolgreiche Ausnutzung kann alle auf dem Exchange Server gespeicherten Daten offenlegen, einschließlich E-Mail-Inhalte, Anhänge und Konfigurationsdaten. Integrität (Hoch): Die Fähigkeit zum beliebigen Dateischreiben ermöglicht es einem Angreifer, Systemdateien zu ändern, Web-Shells zu installieren und Serverkonfigurationen zu manipulieren. Verfügbarkeit (Hoch): Der Angreifer kann den Exchange Server-Betrieb durch Änderung oder Löschung kritischer Dateien stören. Der EPSS-Score von 55,06 % zeigt eine hohe Wahrscheinlichkeit aktiver Ausnutzung an. In Kombination mit CVE-2021-26855 als Teil der ProxyLogon-Kette wird die effektive Auswirkung deutlich verstärkt und ermöglicht nicht authentifizierte Remotecodeausführung. Bestätigte Ransomware-Nutzung macht diese Schwachstelle besonders gefährlich für Organisationen mit On-Premises Exchange Server.
Exploit-Reifegrad
CVE-2021-26858 wird durch die Aufnahme in den CISA-Katalog bekannter ausgenutzter Schwachstellen und die Notfalldirektive 21-02 als aktiv ausgenutzt bestätigt. Der EPSS-Score von 55,06 % (98,0. Perzentil) zeigt eine hohe Ausnutzungswahrscheinlichkeit an. Obwohl in den NVD-Referenzen kein dedizierter öffentlicher Exploit-Code mit einem Exploit-Tag speziell für CVE-2021-26858 identifiziert wurde, ist die Schwachstelle ein integraler Bestandteil der ProxyLogon-Exploit-Kette, für die umfassender öffentlicher Exploit-Code existiert. Die Ransomware-Nutzung ist als bekannt bestätigt, wobei mehrere Bedrohungsakteure die vollständige ProxyLogon-Kette (CVE-2021-26855, CVE-2021-26857, CVE-2021-26858, CVE-2021-27065) für den initialen Zugang und Post-Exploitation-Aktivitäten einschließlich Web-Shell-Installation und Ransomware-Bereitstellung nutzen.
Behebung
- Herstellerpatches sofort anwenden gemäß CISA-Notfalldirektive 21-02: Updates gemäß Herstelleranweisungen anwenden. Microsoft hat im März 2021 außerplanmäßige Sicherheitsupdates für Exchange Server 2010, 2013, 2016 und 2019 veröffentlicht.
- Überprüfen Sie, dass alle Microsoft Exchange Server-Instanzen (2010, 2013, 2016, 2019) auf die neuesten gepatchten kumulativen Updates aktualisiert wurden. Führen Sie das Microsoft Exchange Server Health Checker-Tool (HealthChecker.ps1) zur Bestätigung des Patch-Status aus.
- Scannen Sie nach Kompromittierungsindikatoren, einschließlich Web-Shells in Exchange Server-Verzeichnissen, insbesondere ASPX-Dateien an unerwarteten Stellen wie /aspnet_client/. Verwenden Sie Microsofts MSERT-Tool und das Test-ProxyLogon.ps1-Skript zur Erkennung von Ausnutzungsartefakten.
- Falls ProxyLogon-Ketten-Indikatoren erkannt werden, gehen Sie von einer vollständigen Server-Kompromittierung aus. Führen Sie eine umfassende Incident Response durch, einschließlich forensischer Sicherung der Exchange-Protokolle, Web-Shell-Identifizierung und -Entfernung, Credential-Rotation für alle Exchange-zugänglichen Konten und Bewertung lateraler Bewegungen.
- Implementieren Sie Defense-in-Depth-Maßnahmen, einschließlich Einschränkung des externen Zugangs zu Exchange Server-Ports, Einsatz einer Web Application Firewall (WAF), Aktivierung erweiterter Protokollierung und Evaluierung der Migration zu Exchange Online zur Reduzierung der On-Premises-Angriffsoberfläche.
Technische Details
CVE-2021-26858 ist eine Remotecodeausführungsschwachstelle in Microsoft Exchange Server, die einem authentifizierten Angreifer das Schreiben beliebiger Dateien auf den Server ermöglicht. Die Schwachstelle ist Teil der ProxyLogon-Exploit-Kette, bei der CVE-2021-26855 den initialen nicht authentifizierten SSRF-Zugang bereitstellt und CVE-2021-26858 für Post-Authentifizierungs-Dateischreiboperationen genutzt wird. Der CVSS-Vektorstring (CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H) zeigt einen lokalen Angriffsvektor mit niedriger Komplexität, keine erforderlichen Berechtigungen, aber notwendige Benutzerinteraktion an. Der Scope ist unverändert und beschränkt die direkte Auswirkung auf die verwundbare Exchange Server-Komponente. In der Praxis nutzen Angreifer diese Schwachstelle, um Web-Shells (typischerweise ASPX-Dateien) in zugängliche IIS-Verzeichnisse zu schreiben und damit dauerhaften Fernzugriff herzustellen. Die Schwachstelle betrifft Exchange Server-Versionen 2010, 2013, 2016 und 2019, wobei Exchange Server 2010 unter den ProxyLogon-Ketten-Schwachstellen einzigartig betroffen ist.
Häufig gestellte Fragen
Wird CVE-2021-26858 aktiv ausgenutzt?
Ja. CVE-2021-26858 ist im CISA-Katalog bekannter ausgenutzter Schwachstellen gelistet und Teil der Notfalldirektive 21-02. Als Komponente der ProxyLogon-Exploit-Kette wurde sie von zahlreichen Bedrohungsakteuren weitverbreitet ausgenutzt. Die Ransomware-Nutzung ist bestätigt, und der EPSS-Score von 55,06 % (98,0. Perzentil) zeigt eine hohe Ausnutzungswahrscheinlichkeit an.
Welche Produkte sind betroffen?
CVE-2021-26858 betrifft Microsoft Exchange Server in den Versionen 2010, 2013, 2016 und 2019. Bemerkenswerterweise ist Exchange Server 2010 von dieser spezifischen Schwachstelle betroffen, obwohl er nicht von allen anderen ProxyLogon-Ketten-CVEs betroffen ist. Exchange Online (Microsoft 365) ist nicht betroffen.
Wie behebe ich CVE-2021-26858?
Wenden Sie die von Microsoft im März 2021 veröffentlichten Notfall-Sicherheitsupdates an. Führen Sie Microsofts Diagnosetools (MSERT und Test-ProxyLogon.ps1) aus, um auf Kompromittierungsindikatoren zu prüfen. Falls eine Ausnutzung erkannt wird, führen Sie eine vollständige Incident Response durch, einschließlich Web-Shell-Entfernung, Credential-Rotation und forensischer Analyse.
Wie schwerwiegend ist CVE-2021-26858?
CVE-2021-26858 hat einen CVSS-3.1-Score von 7,8 (HOCH). Während sie einzeln als hochgradig eingestuft ist, macht ihre Rolle in der ProxyLogon-Exploit-Kette sie effektiv kritisch, da sie die Dateischreiboperationen ermöglicht, die für die Web-Shell-Installation und Remotecodeausführung in Kombination mit der SSRF-Schwachstelle CVE-2021-26855 notwendig sind.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.