CVE-2021-31207
Microsoft Exchange Server Security Feature Bypass Vulnerability
Beschreibung
CVE-2021-31207 ist eine mittelgradige Schwachstelle zur Umgehung von Sicherheitsfunktionen in Microsoft Exchange Server. Die Schwachstelle ermöglicht einem Angreifer mit hohen Berechtigungen, Sicherheitsfunktionen auf einem Exchange Server zu umgehen, und ist eine Schlüsselkomponente der "ProxyShell"-Angriffskette. CISA hat diese Schwachstelle in den Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen, was eine aktive Ausnutzung bestätigt, und sie wird bekanntermaßen in Ransomware-Kampagnen eingesetzt. Mit einem EPSS-Score von 93,91 % (99,9. Perzentil) ist die Wahrscheinlichkeit einer Ausnutzung trotz der mittleren CVSS-Bewertung nahezu sicher, was die Bedeutung der ProxyShell-Kette bei realen Angriffen hervorhebt.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | exchange server | 2013; 2016; 2019 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/163895/Microsoft-Exchange-ProxyShell-Remote-Code-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2021-31207(Patch, Vendor Advisory)
- https://www.zerodayinitiative.com/advisories/ZDI-21-819/(Third Party Advisory, VDB Entry)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-31207(US Government Resource)
Schwachstellentyp
CWE-434: Uneingeschränkter Upload von Dateien mit gefährlichem Typ
Uneingeschränkter Upload von Dateien mit gefährlichem Typ tritt auf, wenn Software das Hochladen von Dateien ermöglicht, ohne den Dateityp ordnungsgemäß zu validieren, was zu beliebiger Codeausführung führen kann. Im Kontext von CVE-2021-31207 schränkt Microsoft Exchange Server Datei-Uploads nicht ordnungsgemäß ein, wodurch ein Angreifer nach Umgehung der Authentifizierung über die ProxyShell-Kette eine Webshell auf den Server schreiben kann.
Mehr erfahren: CWE-434 — Uneingeschränkter Upload von Dateien mit gefährlichem Typ
Auswirkungsanalyse
CVE-2021-31207 hat einen CVSS 3.1-Score von 6,6 (MITTEL), aber diese Bewertung unterschätzt das reale Risiko, wenn die Schwachstelle mit anderen ProxyShell-Komponenten verkettet wird. Der Angriffsvektor ist netzwerkbasiert, hat jedoch eine hohe Angriffskomplexität und erfordert hohe Berechtigungen, was bedeutet, dass eine isolierte Ausnutzung erhebliche Voraussetzungen erfordert. In der ProxyShell-Kette werden diese Anforderungen jedoch durch CVE-2021-34473 (Pre-Authentication Path Confusion) und CVE-2021-34523 (Rechteausweitung) effektiv umgangen. Eine erfolgreiche Ausnutzung kompromittiert vollständig die Vertraulichkeit, Integrität und Verfügbarkeit des Exchange Servers. Der EPSS-Score von 93,91 % (99,9. Perzentil) deutet auf nahezu sichere Ausnutzungsaktivitäten hin. Diese Schwachstelle wird bekanntermaßen in Ransomware-Kampagnen eingesetzt, und die ProxyShell-Kette war einer der am weitesten verbreiteten Angriffsvektoren gegen Exchange Server, was ungepatchte Exchange Server zu kritischen Zielen für Bedrohungsakteure macht.
Exploit-Reifegrad
CVE-2021-31207 wird als aktiv ausgenutzt bestätigt, wie die Aufnahme in den CISA-Katalog bekannter ausgenutzter Schwachstellen belegt, und wird bekanntermaßen in Ransomware-Kampagnen eingesetzt. Öffentlicher Exploit-Code ist verfügbar für die ProxyShell-Angriffskette über Packet Storm Security (Microsoft Exchange ProxyShell Remote Code Execution). Zusätzliche Details wurden von der Zero Day Initiative (ZDI-21-819) veröffentlicht. Der EPSS-Score von 93,91 % (99,9. Perzentil) deutet auf nahezu sichere Ausnutzungsaktivitäten hin. CVE-2021-31207 wird häufig mit CVE-2021-34473 (Pre-Authentication Path Confusion) und CVE-2021-34523 (Exchange PowerShell-Rechteausweitung) verkettet, um die vollständige ProxyShell-Angriffskette zu bilden, die eine nicht authentifizierte Remote-Code-Execution auf Exchange Servern ermöglicht. Bundesbehörden mussten diese Schwachstelle bis zum 17.11.2021 beheben.
Behebung
- Sicherheitsupdates des Herstellers sofort anwenden, wie im CISA KEV-Katalog gefordert: Updates gemäß Herstelleranweisungen anwenden. Installieren Sie das kumulative Update für Exchange Server vom Mai 2021, das CVE-2021-31207 und die verwandten ProxyShell-Schwachstellen (CVE-2021-34473, CVE-2021-34523) behebt.
- Überprüfen Sie, dass alle Exchange Server in der Umgebung auf gepatchte Versionen aktualisiert wurden. Stellen Sie sicher, dass sowohl die Sicherheitsupdates vom Mai 2021 als auch nachfolgende kumulative Updates angewendet wurden, da die ProxyShell-Kette erfordert, dass alle drei Schwachstellen gepatcht sind.
- Beschränken Sie den externen Zugriff auf die Autodiscover- und MAPI-Endpunkte des Exchange Servers wo möglich und platzieren Sie Exchange Server hinter einer Web Application Firewall (WAF), die zur Erkennung von ProxyShell-Ausnutzungsmustern konfiguriert ist.
- Führen Sie eine forensische Überprüfung der Exchange Server auf Webshells, verdächtige PowerShell-Aktivitäten und nicht autorisierte Mailbox-Export-Anfragen durch. Überprüfen Sie IIS-Protokolle auf anomale Anfragen an die Autodiscover- und PowerShell-Verzeichnisse.
- Implementieren Sie Netzwerksegmentierung, um Exchange Server von anderer kritischer Infrastruktur zu isolieren, und überwachen Sie Exchange Server-Ereignisprotokolle auf Kompromittierungsindikatoren im Zusammenhang mit ProxyShell-Ausnutzung.
Technische Details
CVE-2021-31207 ist eine Schwachstelle zur Umgehung von Sicherheitsfunktionen in Microsoft Exchange Server im Zusammenhang mit CWE-434 (Uneingeschränkter Upload von Dateien mit gefährlichem Typ). Der Angriffsvektor ist netzwerkbasiert mit hoher Komplexität (CVSS-Vektor: CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:H) und erfordert bei isolierter Ausnutzung hohe Berechtigungen. Als Teil der ProxyShell-Kette wird die Anforderung hoher Berechtigungen jedoch durch CVE-2021-34523 (Exchange PowerShell-Backend-Rechteausweitung) umgangen, und die Authentifizierungsanforderung wird durch CVE-2021-34473 (Pre-Authentication Path Confusion über Autodiscover) ausgehebelt. Der Ausnutzungsablauf umfasst: zunächst den Zugriff auf das Exchange-Backend ohne Authentifizierung über die Path-Confusion-Schwachstelle, dann die Eskalation zu Exchange-Admin-Berechtigungen über das PowerShell-Backend und schließlich die Nutzung von CVE-2021-31207, um eine Webshell auf die Festplatte zu schreiben, indem die Datei-Upload-Sicherheitsumgehung ausgenutzt wird. Diese vollständige Kette verwandelt drei einzeln mittelschwere bis niedrigschwere Schwachstellen in einen nicht authentifizierten Remote-Code-Execution-Angriff gegen Exchange Server.
Häufig gestellte Fragen
Wird CVE-2021-31207 aktiv ausgenutzt?
Ja. CVE-2021-31207 ist im CISA-Katalog bekannter ausgenutzter Schwachstellen aufgeführt, was eine aktive Ausnutzung als Teil der ProxyShell-Angriffskette bestätigt. Sie wird auch bekanntermaßen in Ransomware-Kampagnen eingesetzt. Der EPSS-Score von 93,91 % (99,9. Perzentil) deutet auf nahezu sichere Ausnutzungsaktivitäten hin.
Welche Produkte sind betroffen?
CVE-2021-31207 betrifft Microsoft Exchange Server. Sie ist Teil der ProxyShell-Schwachstellenkette neben CVE-2021-34473 und CVE-2021-34523. Organisationen mit On-Premises Exchange Servern sollten die Microsoft-Sicherheitsempfehlung für spezifische betroffene Versionen und kumulative Updates konsultieren.
Wie behebe ich CVE-2021-31207?
Wenden Sie das kumulative Update vom Mai 2021 und nachfolgende Patches von Microsoft für Exchange Server an. Stellen Sie sicher, dass alle drei ProxyShell-Schwachstellen (CVE-2021-34473, CVE-2021-34523, CVE-2021-31207) gepatcht sind. Beschränken Sie den externen Zugriff auf Exchange-Endpunkte, setzen Sie eine WAF ein und führen Sie eine forensische Analyse auf bestehende Webshells durch.
Wie schwerwiegend ist CVE-2021-31207?
CVE-2021-31207 hat einen CVSS 3.1-Score von 6,6 (MITTEL) bei isolierter Betrachtung, ermöglicht aber als Teil der ProxyShell-Kette eine nicht authentifizierte Remote-Code-Execution auf Exchange Servern. Die Verbindung mit Ransomware-Kampagnen und der extrem hohe EPSS-Score (93,91 %) machen eine sofortige Behebung kritisch, trotz der moderaten CVSS-Einzelbewertung.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.