CVE-2021-31196
Microsoft Exchange Server Information Disclosure Vulnerability
Beschreibung
CVE-2021-31196 ist eine schwerwiegende Remote Code Execution (RCE) Schwachstelle (CVSS 7.2 HIGH) in Microsoft Exchange Server. Die Schwachstelle ermöglicht es einem authentifizierten Angreifer mit hohen Berechtigungen, beliebigen Code auf dem Exchange-Server auszuführen. Betroffen sind Microsoft Exchange Server 2013, 2016 und 2019. Die Schwachstelle wurde von der CISA in den Known Exploited Vulnerabilities (KEV) Katalog aufgenommen und wird aktiv ausgenutzt. Der EPSS-Score beträgt 0.03343 (87.1. Perzentil), was eine deutlich erhöhte Ausnutzungswahrscheinlichkeit signalisiert.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | exchange server | 2013; 2016; 2019 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-31196(Patch, Vendor Advisory)
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2021-31196(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-31196(US Government Resource)
Schwachstellentyp
Für CVE-2021-31196 wurde keine spezifische CWE-Nummer zugewiesen. Die Schwachstelle wird von Microsoft als Remote Code Execution Vulnerability in Exchange Server klassifiziert. Microsoft Exchange Server ist eine komplexe Messaging-Plattform mit einer grossen Angriffsfläche, die Web-basierte Dienste (OWA, ECP), MAPI/RPC-Endpunkte und PowerShell-Remoting umfasst. Remote Code Execution Schwachstellen in Exchange ermöglichen es einem Angreifer, beliebigen Code im Sicherheitskontext des Exchange-Dienstes auszuführen. Da Exchange-Server häufig mit hohen Berechtigungen im Active Directory betrieben werden und direkt aus dem Internet erreichbar sind, stellen solche Schwachstellen ein erhebliches Risiko für die gesamte Unternehmensinfrastruktur dar.
Auswirkungsanalyse
Die Auswirkungen von CVE-2021-31196 betreffen alle drei Schutzziele vollständig. Vertraulichkeit (C:H): Bei erfolgreicher Ausnutzung erhält der Angreifer Zugriff auf sämtliche E-Mail-Kommunikation, Adressbücher, Kalender und Kontaktdaten aller Benutzer des Exchange-Servers. Darüber hinaus können Active-Directory-Informationen und Netzwerkressourcen kompromittiert werden. Integrität (I:H): Der Angreifer kann E-Mails manipulieren, Weiterleitungsregeln erstellen, Postfachinhalte verändern und den Server als Plattform für weitere Angriffe nutzen. Verfügbarkeit (A:H): Die Codeausführung kann zur Unterbrechung des E-Mail-Dienstes führen, was in den meisten Organisationen geschäftskritisch ist. Der EPSS-Score von 0.03343 (87.1. Perzentil) zeigt eine erhöhte Ausnutzungswahrscheinlichkeit, die durch die historische Attraktivität von Exchange-Servern als Angriffsziel verstärkt wird. Die Anforderung hoher Berechtigungen (PR:H) senkt den CVSS-Score, jedoch zeigt die Praxis, dass Angreifer Exchange-Admin-Zugangsdaten durch vorgelagerte Angriffe erlangen. Der Ransomware-Status ist als Unknown eingestuft.
Exploit-Reifegrad
CVE-2021-31196 wird aktiv ausgenutzt und wurde von der CISA in den Known Exploited Vulnerabilities (KEV) Katalog aufgenommen, mit einer Behebungsfrist bis zum 11. September 2024. Microsoft hat den Sicherheitspatch über das Security Response Center veröffentlicht. Die Schwachstelle wurde ursprünglich im Juli 2021 gepatcht, die Aufnahme in den KEV-Katalog im August 2024 deutet darauf hin, dass eine signifikante Anzahl ungepatchter Exchange-Server weiterhin ausgenutzt wird. Exchange Server gehört zu den bevorzugten Zielen für staatlich gesponserte Akteure und organisierte Cyberkriminelle, wie die ProxyLogon- und ProxyShell-Angriffswellen von 2021 gezeigt haben. Der EPSS-Score von 0.03343 (87.1. Perzentil) unterstreicht das anhaltende Risiko. Der Ransomware-Status wird als Unknown geführt, wobei Exchange-Kompromittierungen historisch häufig als Einstiegspunkt für Ransomware-Angriffe gedient haben.
Behebung
-
Sicherheitsupdate installieren: Installieren Sie umgehend das von Microsoft bereitgestellte kumulative Update (CU) und Sicherheitsupdate (SU) für Ihre Exchange-Server-Version über das Microsoft Security Response Center. Prüfen Sie, ob Ihre Exchange-Version noch im Support ist.
-
Exchange-Server-Versionen prüfen: Exchange Server 2013 hat das Ende des erweiterten Supports erreicht. Planen Sie die Migration auf eine unterstützte Version oder zu Exchange Online/Microsoft 365. Für Exchange 2016 und 2019 stellen Sie sicher, dass das neueste kumulative Update installiert ist.
-
Forensische Überprüfung durchführen: Da die Schwachstelle seit Juli 2021 bekannt ist und aktiv ausgenutzt wird, überprüfen Sie Ihre Exchange-Server auf Anzeichen einer vergangenen Kompromittierung. Nutzen Sie Microsofts Exchange HealthChecker und EOMT-Tools zur Diagnose.
-
Zugriffsbeschränkung implementieren: Beschränken Sie den Zugriff auf die Exchange-Verwaltungsoberfläche (ECP/EAC) auf vertrauenswürdige Netzwerke. Implementieren Sie Multi-Faktor-Authentifizierung für alle Exchange-Administratoren und reduzieren Sie die Anzahl der Admin-Konten.
-
Monitoring und Detection: Konfigurieren Sie die Überwachung von Exchange-Servern auf verdächtige Aktivitäten, insbesondere ungewöhnliche PowerShell-Befehle, Web-Shell-Erstellung und auffällige OWA/ECP-Zugriffe.
Technische Details
Der CVSS v3.1 Vektor für CVE-2021-31196 lautet CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H mit einem Score von 7.2 (HIGH). Angriffsvektor (AV:N): Der Angriff erfolgt über das Netzwerk, was besonders kritisch ist, da Exchange-Server in der Regel direkt aus dem Internet erreichbar sind. Angriffskomplexität (AC:L): Die Ausnutzung ist technisch nicht komplex, sobald der Angreifer über die erforderlichen Berechtigungen verfügt. Erforderliche Berechtigungen (PR:H): Hohe Berechtigungen werden benötigt, typischerweise ein Exchange-Administratorkonto. Benutzerinteraktion (UI:N): Keine Benutzerinteraktion erforderlich, der Angriff kann vollständig automatisiert werden. Scope (S:U): Die Auswirkungen bleiben auf den Exchange-Server beschränkt, wobei Exchange aufgrund seiner Active-Directory-Integration häufig als Sprungbrett für laterale Bewegung im Netzwerk dient. Die Schwachstelle betrifft Microsoft Exchange Server 2013, 2016 und 2019. Alle Versionen teilen eine gemeinsame Codebasis für zentrale Dienste, weshalb die gleiche RCE-Schwachstelle alle drei Produktlinien betrifft. Die genauen technischen Details des Angriffsmechanismus wurden von Microsoft nicht öffentlich dokumentiert, um die Entwicklung von Exploits zu erschweren.
Häufig gestellte Fragen
Was ist CVE-2021-31196 und warum ist es auch 2024 noch relevant?
CVE-2021-31196 ist eine Remote Code Execution Schwachstelle in Microsoft Exchange Server 2013, 2016 und 2019. Obwohl der Patch seit Juli 2021 verfügbar ist, wurde die Schwachstelle erst 2024 in den CISA KEV-Katalog aufgenommen, was darauf hindeutet, dass eine erhebliche Anzahl ungepatchter Server weiterhin aktiv angegriffen wird.
Bin ich betroffen, wenn ich Exchange Online/Microsoft 365 nutze?
Nein, CVE-2021-31196 betrifft ausschliesslich On-Premises-Installationen von Microsoft Exchange Server. Exchange Online und Microsoft 365 werden von Microsoft verwaltet und gepatcht. Hybride Umgebungen müssen jedoch sicherstellen, dass ihre lokalen Exchange-Server ebenfalls aktualisiert sind.
Wie prüfe ich, ob mein Exchange-Server gepatcht ist?
Verwenden Sie Microsofts Exchange HealthChecker-Skript, das den Patch-Stand Ihres Servers automatisch überprüft. Alternativ können Sie die installierte Build-Nummer unter Exchange Management Shell mit dem Befehl Get-ExchangeServer | Format-List Name,AdminDisplayVersion abfragen und mit den Angaben auf der Microsoft-Dokumentationsseite vergleichen.
Wird CVE-2021-31196 in Ransomware-Angriffen eingesetzt?
Der KEV-Eintrag stuft den Ransomware-Status als Unknown ein. Historisch gesehen sind Exchange-Server-Schwachstellen jedoch häufig als Einstiegspunkt für Ransomware-Angriffe genutzt worden, wie die Wellen von DearCry-, LockFile- und Conti-Ransomware nach ProxyLogon und ProxyShell gezeigt haben.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.