CVE-2021-27065
Microsoft Exchange Server Remote Code Execution Vulnerability
Beschreibung
CVE-2021-27065 ist eine hochgradige Remotecodeausführungsschwachstelle in Microsoft Exchange Server, die eine kritische Komponente der ProxyLogon-Exploit-Kette bildet. Die Schwachstelle beinhaltet einen Path-Traversal-Fehler, der einem authentifizierten Angreifer das Schreiben beliebiger Dateien auf den Server ermöglicht. In Kombination mit CVE-2021-26855 (der SSRF-Schwachstelle, die nicht authentifizierten Zugang ermöglicht) kann ein Angreifer Web-Shells installieren und vollständige Remotecodeausführung ohne gültige Anmeldedaten erreichen. Die CISA hat CVE-2021-27065 in ihren Katalog der bekannten ausgenutzten Schwachstellen aufgenommen und in die Notfalldirektive 21-02 einbezogen, was eine weitverbreitete aktive Ausnutzung bestätigt. Mit einem EPSS-Score von 94,28 % (99,94. Perzentil) und bestätigter Ransomware-Nutzung gehört diese Exchange Server-Schwachstelle zu den am aktivsten ausgenutzten der jüngeren Geschichte.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | exchange server | 2013; 2016; 2019 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-27065
- http://packetstormsecurity.com/files/161938/Microsoft-Exchange-ProxyLogon-Remote-Code-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/162736/Microsoft-Exchange-ProxyLogon-Collector.html(Exploit, Third Party Advisory, VDB Entry)
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2021-27065(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-27065(US Government Resource)
Schwachstellentyp
CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal')
Path Traversal ist eine Schwachstelle, bei der Software externe Eingaben zur Konstruktion eines Dateipfads verwendet, ohne Sonderzeichen ordnungsgemäß zu neutralisieren, die außerhalb des vorgesehenen Verzeichnisses auflösen könnten. Bei CVE-2021-27065 validiert der Microsoft Exchange Server Dateipfade in seiner Virtual-Directory-Verwaltungsfunktionalität nicht ordnungsgemäß, wodurch ein authentifizierter Angreifer Dateien an beliebige Orte auf dem Server schreiben kann, einschließlich ausführbarer Web-Shell-Dateien in IIS-zugänglichen Verzeichnissen.
Mehr erfahren: CWE-22 — Improper Limitation of a Pathname to a Restricted Directory
Auswirkungsanalyse
CVE-2021-27065 weist einen CVSS-3.1-Score von 7,8 (HOCH) auf, was ein erhebliches Risiko für Microsoft Exchange Server-Bereitstellungen darstellt. Der Angriffsvektor ist als lokal klassifiziert mit niedriger Angriffskomplexität, erfordert keine Berechtigungen, aber Benutzerinteraktion. Vertraulichkeit (Hoch): Eine erfolgreiche Ausnutzung legt alle Daten auf dem Exchange Server offen, einschließlich E-Mail-Inhalte, Adressbücher und Konfigurationsdaten aller Postfächer. Integrität (Hoch): Die Path-Traversal-Dateischreib-Fähigkeit ermöglicht es Angreifern, Systemdateien zu ändern, Web-Shells in IIS-Verzeichnissen zu installieren und Exchange Server-Konfigurationen für dauerhaften Zugang zu manipulieren. Verfügbarkeit (Hoch): Angreifer können den Exchange Server-Betrieb durch Dateimanipulation oder destruktive Payloads stören. Der EPSS-Score von 94,28 % zeigt nahezu sichere Ausnutzung an, und die bestätigte Ransomware-Nutzung belegt, dass Bedrohungsakteure CVE-2021-27065 aktiv als Teil der ProxyLogon-Kette für Massenausnutzungskampagnen gegen Organisationen weltweit einsetzen.
Exploit-Reifegrad
Öffentlicher Exploit-Code ist verfügbar für CVE-2021-27065 über Microsoft Exchange ProxyLogon Remote Code Execution und Microsoft Exchange ProxyLogon Collector. Die CISA hat die aktive Ausnutzung durch die Notfalldirektive 21-02 und den KEV-Katalog bestätigt. Die Ransomware-Nutzung ist als bekannt bestätigt, wobei Bedrohungsakteure die ProxyLogon-Kette für den initialen Zugang mit anschließender Ransomware-Bereitstellung nutzen. Der EPSS-Score von 94,28 % (99,94. Perzentil) zeigt nahezu sichere Ausnutzungsaktivität an. CVE-2021-27065 ist die primäre Dateischreib-Komponente in der ProxyLogon-Kette und wird häufig zusammen mit CVE-2021-26855 (SSRF) ausgenutzt, um nicht authentifizierte Web-Shell-Installation auf verwundbaren Exchange Servern zu erreichen. Diese Kombination wurde in Massenausnutzungskampagnen verwendet, die mehreren staatlich geförderten und kriminellen Bedrohungsakteuren zugeschrieben werden.
Behebung
- Herstellerpatches sofort anwenden gemäß CISA-Notfalldirektive 21-02: Updates gemäß Herstelleranweisungen anwenden. Microsoft hat im März 2021 außerplanmäßige Sicherheitsupdates für Exchange Server 2013, 2016 und 2019 veröffentlicht.
- Überprüfen Sie, dass alle Microsoft Exchange Server-Instanzen (2013, 2016, 2019) auf die neuesten gepatchten kumulativen Updates aktualisiert wurden. Verwenden Sie das Microsoft Exchange Server Health Checker-Tool (HealthChecker.ps1) und das Exchange Mitigation Tool (EOMT) zur Verifizierung des Patch-Status.
- Suchen Sie nach Web-Shells und Kompromittierungsindikatoren an gängigen Bereitstellungsorten, einschließlich /aspnet_client/, /owa/auth/ und Exchange-bezogenen Verzeichnissen. Verwenden Sie Microsofts MSERT-Tool, das Test-ProxyLogon.ps1-Skript und das von der CISA veröffentlichte Sparrow.ps1-Tool für eine umfassende Erkennung von ProxyLogon-Ausnutzungsartefakten.
- Falls Web-Shells oder andere Kompromittierungsindikatoren gefunden werden, leiten Sie eine vollständige Incident Response ein: Forensische Beweise sichern, Umfang der Kompromittierung identifizieren, alle Anmeldedaten (einschließlich Dienstkonten) rotieren, alle schädlichen Dateien entfernen und prüfen, ob laterale Bewegungen stattgefunden haben. Gehen Sie davon aus, dass alle E-Mail-Daten für den Angreifer zugänglich waren.
- Implementieren Sie langfristige Härtungsmaßnahmen, einschließlich Einschränkung des externen Zugangs zum Exchange Server über VPN oder Reverse Proxy, Einsatz einer Web Application Firewall mit Regeln zur Path-Traversal-Erkennung, Aktivierung detaillierter IIS- und Exchange-Protokollierung und Planung der Migration zu Exchange Online (Microsoft 365) zur Reduzierung der On-Premises-Angriffsoberfläche.
Technische Details
CVE-2021-27065 ist eine Path-Traversal-Schwachstelle (CWE-22) in der Virtual-Directory-Konfigurationsfunktionalität von Microsoft Exchange Server. Der Fehler ermöglicht es einem authentifizierten Angreifer, beliebige Dateien mit kontrolliertem Inhalt an jeden Ort auf dem Exchange Server zu schreiben, indem er den Dateipfad in der Virtual-Directory-Konfiguration manipuliert. Der CVSS-Vektorstring (CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H) zeigt einen lokalen Angriffsvektor mit niedriger Komplexität und ohne Berechtigungsanforderungen, wobei jedoch Benutzerinteraktion erforderlich ist. In der ProxyLogon-Angriffskette stellt CVE-2021-26855 zunächst nicht authentifizierten SSRF-Zugang zu Exchange-Backend-Diensten bereit, und dann wird CVE-2021-27065 verwendet, um eine Web-Shell (typischerweise eine ASPX-Datei mit einer China Chopper- oder ähnlichen Web-Shell) in ein IIS-zugängliches Verzeichnis zu schreiben. Die Path-Traversal-Komponente ermöglicht es dem Angreifer, die vorgesehenen Verzeichnisbeschränkungen zu umgehen und die Web-Shell an einem Ort zu platzieren, der über HTTP erreichbar ist, wodurch dauerhafter Fernzugriff auf den kompromittierten Server hergestellt wird.
Häufig gestellte Fragen
Wird CVE-2021-27065 aktiv ausgenutzt?
Ja. CVE-2021-27065 ist eine der am aktivsten ausgenutzten Komponenten der ProxyLogon-Kette. Die CISA hat die Notfalldirektive 21-02 herausgegeben, und die Schwachstelle ist im KEV-Katalog gelistet. Die Ransomware-Nutzung ist bestätigt, und Massenausnutzungskampagnen betrafen weltweit Zehntausende von Organisationen. Der EPSS-Score von 94,28 % (99,94. Perzentil) zeigt nahezu sichere Ausnutzung an.
Welche Produkte sind betroffen?
CVE-2021-27065 betrifft Microsoft Exchange Server in den Versionen 2013, 2016 und 2019. Exchange Online (Microsoft 365) ist nicht betroffen. Alle Organisationen mit On-Premises Exchange Servern sollten den Patch-Status umgehend überprüfen und nach Kompromittierungsindikatoren scannen.
Wie behebe ich CVE-2021-27065?
Wenden Sie die von Microsoft im März 2021 veröffentlichten Notfall-Sicherheitsupdates an. Führen Sie Microsofts Erkennungstools (MSERT, Test-ProxyLogon.ps1 und EOMT) aus, um Kompromittierungsindikatoren zu identifizieren. Falls eine Ausnutzung erkannt wird, führen Sie eine umfassende Incident Response durch, einschließlich Web-Shell-Entfernung, Credential-Rotation für alle Konten und forensischer Untersuchung.
Wie schwerwiegend ist CVE-2021-27065?
CVE-2021-27065 hat einen CVSS-3.1-Score von 7,8 (HOCH). Als primäre Dateischreib-Komponente der ProxyLogon-Exploit-Kette ist sie für die Erreichung von Remotecodeausführung in Kombination mit CVE-2021-26855 unerlässlich. Mit einem EPSS-Score von 94,28 % und bestätigter Ransomware-Nutzung erfordert diese Schwachstelle sofortige Behebungspriorität.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.