CVE-2021-34473
Microsoft Exchange Server Remote Code Execution Vulnerability
Beschreibung
CVE-2021-34473 ist eine kritische (CRITICAL) Remote-Code-Execution-Schwachstelle in Microsoft Exchange Server mit einem CVSS-3.1-Score von 9,1. Diese Schwachstelle ist eine Schlüsselkomponente der ProxyShell-Angriffskette und ermöglicht es einem nicht authentifizierten Angreifer, beliebigen Code auf betroffenen Exchange-Server-Instanzen auszuführen, indem ein Server-Side-Request-Forgery-Fehler (SSRF) im URL-Normalisierungsprozess ausgenutzt wird. In Kombination mit CVE-2021-34523 und CVE-2021-31207 ermöglicht sie vollständige Remote-Code-Execution ohne vorherige Authentifizierung. Betroffen sind Microsoft Exchange Server 2013, 2016 und 2019. Diese CVE ist im CISA-Katalog bekannter ausgenutzter Schwachstellen (KEV) gelistet mit einer beschleunigten Behebungsfrist bis zum 17.11.2021. Mit einem EPSS-Score von 0,94256 (99,93. Perzentil) weist diese Schwachstelle extrem hohe Ausnutzungswahrscheinlichkeit auf. Für diese Schwachstelle bestehen bekannte Ransomware-Verbindungen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | exchange server | 2013; 2016; 2019 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-34473(Patch, Vendor Advisory)
- http://packetstormsecurity.com/files/163895/Microsoft-Exchange-ProxyShell-Remote-Code-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2021-34473(Patch, Vendor Advisory)
- https://www.zerodayinitiative.com/advisories/ZDI-21-821/(Third Party Advisory, VDB Entry)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-34473(US Government Resource)
Schwachstellentyp
CWE-918: Server-Side Request Forgery (SSRF)
CVE-2021-34473 wird unter CWE-918 — Server-Side Request Forgery (SSRF) klassifiziert. SSRF tritt auf, wenn eine Webanwendung eine entfernte Ressource basierend auf einer benutzergelieferten URL abruft, ohne das Ziel ordnungsgemäß zu validieren. Dies ermöglicht einem Angreifer, den Server dazu zu bringen, Anfragen an unbeabsichtigte Ziele zu senden, interne Dienste zu erreichen, Zugriffskontrollen zu umgehen oder sensible Daten aus der Netzwerkperspektive des Servers zu lesen.
Im Kontext von Microsoft Exchange Server existiert die SSRF-Schwachstelle in der URL-Normalisierungskomponente des Client Access Service (CAS). Durch das Erstellen spezifischer URL-Muster kann ein Angreifer Authentifizierungsprüfungen umgehen und auf Backend-Exchange-Dienste zugreifen, die nur authentifizierten Benutzern zugänglich sein sollten. Diese SSRF-Primitive ist besonders gefährlich, da sie als Einstiegspunkt für die ProxyShell-Angriffskette dient.
Mehr erfahren: CWE-918 — Server-Side Request Forgery (SSRF)
Auswirkungsanalyse
CVE-2021-34473 hat einen CVSS-3.1-Score von 9,1 (CRITICAL) mit unverändertem Scope.
Vertraulichkeit (HIGH): Eine erfolgreiche Ausnutzung ermöglicht einem nicht authentifizierten Angreifer den Zugriff auf Exchange-Server-Backend-Dienste und legt E-Mail-Inhalte, Benutzeranmeldedaten, Active-Directory-Informationen und sensible Organisationsdaten offen.
Integrität (HIGH): Über die ProxyShell-Kette können Angreifer beliebige Dateien auf den Exchange Server schreiben, Web-Shells einsetzen, Exchange-Konfigurationen ändern und persistenten Backdoor-Zugang zur E-Mail-Infrastruktur etablieren.
Verfügbarkeit (NONE laut CVSS): Der CVSS-Vektor bewertet die Verfügbarkeitsauswirkung als NONE für diese spezifische Schwachstelle isoliert betrachtet. Jedoch setzen Angreifer bei Ausnutzung als Teil der ProxyShell-Kette häufig Ransomware oder destruktive Payloads ein.
Scope unverändert: Die Auswirkungen sind auf die Exchange-Server-Komponente begrenzt, obwohl die zentrale Rolle des Servers in der Unternehmenskommunikation bedeutet, dass eine Kompromittierung die gesamte Organisation betrifft.
Mit einem EPSS-Score von 0,94256 (99,93. Perzentil) und bestätigten Ransomware-Verbindungen stellt ProxyShell eine der am aktivsten ausgenutzten Exchange-Server-Schwachstellen dar.
Exploit-Reifegrad
CVE-2021-34473 hat bestätigte aktive Ausnutzung in freier Wildbahn und ist im CISA-Katalog bekannter ausgenutzter Schwachstellen mit beschleunigter Behebungsfrist gelistet.
Exploit-Status: Mehrere öffentliche Exploits sind verfügbar, darunter Metasploit-Module und eigenständige Proof-of-Concept-Skripte für die vollständige ProxyShell-Angriffskette. Die Schwachstelle wurde auf der Black Hat USA 2021 von Orange Tsai präsentiert, und die Ausnutzung begann kurz nach der Offenlegung. Der Exploit ist zuverlässig und wird sowohl von APT-Gruppen als auch von Cyberkriminellen eingesetzt.
Ransomware-Verbindung: Diese Schwachstelle hat bestätigte Ransomware-Verbindungen. Mehrere Ransomware-Familien einschließlich LockFile, Conti und Hive haben ProxyShell als initialen Zugriffsvektor genutzt.
Angriffsfläche: Die Autodiscover- und Client-Access-Service-Komponenten von Exchange Server sind typischerweise über Port 443 im Internet exponiert. Die Schwachstelle erfordert keine Authentifizierung und ist direkt aus dem Internet ausnutzbar.
KEV-Frist: CISA forderte Bundesbehörden auf, diese Schwachstelle bis zum 17.11.2021 zu beheben — eine beschleunigte Frist, die die aktive Massenausnutzung widerspiegelt.
Behebung
- Herstellerpatches sofort anwenden. Wenden Sie Updates gemäß den Herstelleranweisungen an. Installieren Sie die kumulativen Updates für Microsoft Exchange Server vom Juli 2021 gemäß dem Microsoft Security Advisory.
- Betroffene Produktversionen identifizieren. Identifizieren Sie alle Instanzen von Microsoft Exchange Server 2013, 2016 und 2019. Verwenden Sie Schwachstellenscanner und den Microsoft Exchange Health Checker zur Überprüfung des Patch-Standes.
- Auf Web-Shells und Kompromittierungsindikatoren scannen. ProxyShell-Ausnutzung führt häufig zu Web-Shell-Bereitstellung. Scannen Sie Exchange-Server-Dateisysteme auf verdächtige ASPX-Dateien in webzugänglichen Verzeichnissen.
- Exchange-Server-Protokolle auf Ausnutzungszeichen überprüfen. Untersuchen Sie IIS-Protokolle auf verdächtige URL-Muster mit Autodiscover-, MAPI- oder EWS-Pfaden. Prüfen Sie auf unerwartete Postfach-Exportanfragen und verdächtige PowerShell-Aktivitäten.
- Netzwerkseitige Schutzmaßnahmen implementieren. Beschränken Sie den direkten Internetzugriff auf Exchange Server, wo möglich. Setzen Sie Web Application Firewalls mit Regeln gegen ProxyShell-Ausnutzungsmuster ein.
- Umfassende Incident Response bei Verdacht auf Kompromittierung. Wenn ProxyShell-Ausnutzungsindikatoren gefunden werden, leiten Sie eine vollständige Incident Response ein, einschließlich forensischer Analyse und Credential-Rotation.
Technische Details
CVE-2021-34473 ist eine kritische Schwachstelle in Microsoft Exchange Server, die aus der Ferne über das Netzwerk ohne Authentifizierung und ohne Benutzerinteraktion ausnutzbar ist. Die Angriffskomplexität ist niedrig.
Technischer Mechanismus: Die Schwachstelle existiert in der URL-Normalisierungslogik des Exchange Server Client Access Service (CAS) Proxy. Bei der Verarbeitung eingehender HTTP-Anfragen normalisiert der CAS URLs, bevor er sie an Backend-Dienste weiterleitet. Ein Fehler in diesem Normalisierungsprozess ermöglicht es einem Angreifer, spezifische URL-Muster zu erstellen, die die Authentifizierungserzwingungsschicht umgehen. Durch Manipulation des URL-Pfads mit bestimmten Autodiscover-bezogenen Mustern kann der Angreifer ohne Authentifizierung auf Backend-Exchange-Web-Services und PowerShell-Endpunkte zugreifen. Diese SSRF-Primitive bildet die Grundlage der ProxyShell-Angriffskette.
CVSS-3.1-Vektoranalyse: Der Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N zeigt einen Angriffsvektor NETWORK, Angriffskomplexität LOW, benötigte Privilegien NONE, Benutzerinteraktion NONE, Scope UNCHANGED und HIGH-Auswirkungen auf Vertraulichkeit und Integrität. Die Pre-Authentication-SSRF liefert den kritischen initialen Zugang für die ProxyShell-Kette.
Häufig gestellte Fragen
Wird CVE-2021-34473 aktiv ausgenutzt?
Ja, CVE-2021-34473 wird seit August 2021 aktiv massenweise ausgenutzt und ist im CISA-Katalog bekannter ausgenutzter Schwachstellen mit beschleunigter Frist gelistet. Sie ist der initiale Einstiegspunkt für die ProxyShell-Angriffskette. Mehrere Ransomware-Familien einschließlich LockFile, Conti und Hive haben ProxyShell genutzt. Der EPSS-Score von 0,94256 (99,93. Perzentil) bestätigt extrem hohe Ausnutzungsaktivität.
Welche Produkte sind von CVE-2021-34473 betroffen?
Microsoft Exchange Server 2013, Exchange Server 2016 und Exchange Server 2019 sind betroffen. Jeder lokale Exchange Server ohne die kumulativen Updates von Juli 2021 (oder neuer) ist verwundbar. Exchange Online ist nicht betroffen. Verwenden Sie den Microsoft Exchange Health Checker zur Überprüfung.
Wie behebe ich CVE-2021-34473?
Wenden Sie die kumulativen Updates für Microsoft Exchange Server vom Juli 2021 an. Scannen Sie nach dem Patchen auf Web-Shells und Kompromittierungsindikatoren, da die Ausnutzung vor der Patch-Installation erfolgt sein könnte. Überprüfen Sie IIS-Protokolle und erwägen Sie eine Migration zu Exchange Online.
Wie schwerwiegend ist CVE-2021-34473?
CVE-2021-34473 wird mit CRITICAL und einem CVSS-3.1-Score von 9,1 bewertet. Mit einem EPSS-Score von 0,94256 (99,93. Perzentil) gehört sie zu den am häufigsten ausgenutzten Schwachstellen. Sie erfordert keine Authentifizierung, ermöglicht über die ProxyShell-Kette Pre-Authentication-Remote-Code-Execution und hat bestätigte Ransomware-Verbindungen. CISA setzte eine beschleunigte Behebungsfrist zum 17.11.2021.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.