CVE-2021-34523
Microsoft Exchange Server Privilege Escalation Vulnerability
Beschreibung
CVE-2021-34523 ist eine kritische Rechteausweitung-Schwachstelle in Microsoft Exchange Server mit einem CVSS-3.1-Score von 9.0. Die Schwachstelle ermöglicht es einem nicht authentifizierten Angreifer, seine Rechte auf dem Exchange-Server auszuweiten, und ist eine Schlüsselkomponente der ProxyShell-Angriffskette zusammen mit CVE-2021-34473 und CVE-2021-31207. Diese CVE ist im CISA Known Exploited Vulnerabilities (KEV) Katalog gelistet mit einer Behebungsfrist bis zum 2021-11-17. Der EPSS-Score von 0.93998 (99,89. Perzentile) macht sie zu einer der am häufigsten ausgenutzten Schwachstellen überhaupt. Die KEV-Daten bestätigen einen bekannten Ransomware-Zusammenhang.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | exchange server | 2013; 2016; 2019 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-34523(Patch, Vendor Advisory)
- http://packetstormsecurity.com/files/163895/Microsoft-Exchange-ProxyShell-Remote-Code-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2021-34523(Patch, Vendor Advisory)
- https://www.zerodayinitiative.com/advisories/ZDI-21-822/(Third Party Advisory, VDB Entry)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-34523(US Government Resource)
Schwachstellentyp
Nicht spezifizierter Schwachstellentyp
CVE-2021-34523 hat keine offiziell zugewiesene CWE-Klassifizierung. Die Schwachstelle ist ein Rechteausweitungsfehler in Microsoft Exchange Server, der das Umgehen des vom Exchange-PowerShell-Backend verwendeten Sicherheitskontexts ermöglicht. Der Fehler existiert in der Art und Weise, wie Exchange Postfach-Level-Zugriffstoken verarbeitet, wodurch ein Angreifer das Exchange-Maschinenkonto imitieren kann.
Als Teil der ProxyShell-Exploit-Kette arbeitet diese Schwachstelle zusammen mit CVE-2021-34473 (Pre-Authentication Path Confusion) und CVE-2021-31207 (Post-Authentication Arbitrary File Write). Gemeinsam ermöglichen diese drei Schwachstellen eine vollständige unauthentifizierte Remote-Code-Execution gegen Exchange-Server. Die Rechteausweitungskomponente ermöglicht es dem Angreifer insbesondere, beliebige Exchange-PowerShell-Befehle mit SYSTEM-Rechten auszuführen.
Auswirkungsanalyse
Vertraulichkeit (HIGH): Erfolgreiche Ausnutzung gewährt dem Angreifer Zugriff auf alle E-Mails, Kontakte, Kalendereinträge und Anhänge auf dem Exchange-Server. Zugangsdaten, interne Kommunikation und sensible Geschäftsdaten sind vollständig exponiert.
Integrität (HIGH): Angreifer können Postfachinhalte modifizieren, E-Mails als beliebiger Benutzer senden, Exchange-Konfigurationen ändern, Webshells installieren und persistente Backdoors in der Server-Infrastruktur einrichten.
Verfügbarkeit (NONE): Der CVSS-Vektor zeigt keinen direkten Verfügbarkeitseinfluss durch die Rechteausweitung selbst an. In praktischen Angriffsketten kann die Verfügbarkeit jedoch durch nachfolgende Aktionen mit erhöhten Rechten beeinträchtigt werden.
Scope Changed: Der Scope ist Changed (C), was bedeutet, dass die Ausnutzung Ressourcen jenseits der Exchange-Server-Komponente betreffen kann. Ein Angreifer mit SYSTEM-Level-Exchange-PowerShell-Zugang kann auf andere Systeme im Netzwerk pivotieren, auf Active Directory zugreifen und die gesamte Unternehmensumgebung kompromittieren.
Mit einem EPSS-Score von 0.93998 (99,89. Perzentile) gehört diese Schwachstelle zu den am häufigsten ausgenutzten überhaupt und erfordert sofortige Behebung.
Exploit-Reifegrad
Exploit-Status: CVE-2021-34523 wurde als Teil der ProxyShell-Angriffskette extensiv ausgenutzt und ist im CISA KEV-Katalog gelistet. Der EPSS-Score von 0.93998 (99,89. Perzentile) macht sie zu einer der am weitesten verbreiteten ausgenutzten Schwachstellen. Mehrere öffentliche Exploit-Tools und Metasploit-Module sind verfügbar.
Ransomware-Bezug: Der KEV-Katalog bestätigt einen bekannten Ransomware-Zusammenhang für CVE-2021-34523. Ransomware-Gruppen einschließlich LockFile, Conti und Hive haben ProxyShell-Schwachstellen aktiv ausgenutzt, um Erstzugang zu erhalten und Ransomware in Unternehmensnetzwerken zu verteilen.
Angriffsfläche: Vollständig waffenfähiger Exploit-Code ist öffentlich verfügbar. Die ProxyShell-Kette wurde bei Pwn2Own 2021 demonstriert und anschließend in massivem Umfang ausgenutzt. Internet-exponierte Exchange-Server sind trivial über Shodan auffindbar.
KEV-Frist: Die CISA-Behebungsfrist war der 2021-11-17. Angesichts des Ransomware-Zusammenhangs und der weitverbreiteten Ausnutzung sollten alle Organisationen dies als höchste Behebungspriorität für ungepatchte Exchange-Server behandeln.
Behebung
- Hersteller-Patches umgehend anwenden. Wenden Sie Updates gemäß den Anweisungen des Herstellers an. Konsultieren Sie den Microsoft-Hinweis unter MSRC für spezifische Patch-Informationen. Installieren Sie das neueste Exchange Server Cumulative Update und Security Update.
- Alle Exchange-Server auf Patchstatus überprüfen. Identifizieren Sie jeden Exchange-Server in Ihrer Umgebung, einschließlich vergessener oder stillgelegter aber noch laufender Server. Verwenden Sie das Microsoft Exchange Server Health Checker-Script zur Verifizierung.
- Auf Webshells und Kompromittierungsindikatoren prüfen. Angesichts der umfangreichen Ausnutzungshistorie sollten Sie eine Kompromittierung annehmen und eine gründliche Untersuchung durchführen. Prüfen Sie IIS-Verzeichnisse auf Webshells, unerwartete geplante Aufgaben und neue lokale Administratorkonten.
- Netzwerk-Schutzmaßnahmen implementieren. Beschränken Sie den Zugriff auf Exchange-Management-Endpunkte. Platzieren Sie Exchange hinter einem Reverse Proxy oder einer Web Application Firewall. Begrenzen Sie administrativen Zugang auf dedizierte Management-Netzwerke.
- Migration zu Exchange Online erwägen. ProxyShell und verwandte Exchange-Schwachstellen verdeutlichen das anhaltende Risiko von selbst gehostetem Exchange. Evaluieren Sie eine Migration zu Microsoft 365 / Exchange Online.
- Erkennungsregeln aktualisieren. Stellen Sie sicher, dass IDS/IPS, EDR und SIEM-Regeln ProxyShell-Ausnutzungsmuster erkennen, einschließlich verdächtiger PowerShell-Ausführung und Webshell-Deployment.
Technische Details
Angriffsvektor: LOCAL
Angriffskomplexität: Niedrig
Erforderliche Rechte: Keine
Benutzerinteraktion: Keine
Technischer Ablauf: Die Schwachstelle existiert im Exchange-PowerShell-Backend bei der Verarbeitung von Zugriffstoken. Bei der Bearbeitung von Anfragen an den Exchange-PowerShell-Endpunkt validiert der Server das Zugriffstoken der Postfachidentität nicht ordnungsgemäß. Ein Angreifer kann ein speziell präpariertes Token liefern, das Exchange veranlasst, PowerShell-Befehle im Kontext des SYSTEM-Kontos auszuführen und normale Autorisierungsprüfungen zu umgehen.
ProxyShell-Kette: In der vollständigen ProxyShell-Attacke: (1) CVE-2021-34473 bietet Pre-Authentication-Zugang zum Exchange-PowerShell-Endpunkt über eine Path-Confusion-Schwachstelle, (2) CVE-2021-34523 eskaliert Rechte für beliebige Exchange-PowerShell-Befehle als SYSTEM, und (3) CVE-2021-31207 ermöglicht das Schreiben beliebiger Dateien über Postfach-Export und damit Webshell-Deployment.
Betroffene Produkte: Microsoft Exchange Server 2013, 2016 und 2019
CVSS-3.1-Bewertung: Der Score von 9.0 (KRITISCH) reflektiert lokalen Zugang, niedrige Komplexität, keine erforderlichen Rechte oder Benutzerinteraktion, geänderten Scope und hohe Auswirkungen auf Vertraulichkeit und Integrität.
Häufig gestellte Fragen
Wird CVE-2021-34523 aktiv ausgenutzt?
Ja, CVE-2021-34523 gehört zu den am häufigsten ausgenutzten Schwachstellen überhaupt. Sie ist eine Kernkomponente der ProxyShell-Angriffskette, die von mehreren Bedrohungsakteuren einschließlich Ransomware-Gruppen verwendet wird. Der EPSS-Score von 0.93998 (99,89. Perzentile) bestätigt die extreme Ausnutzungsverbreitung. Der KEV-Katalog bestätigt einen Ransomware-Zusammenhang.
Welche Produkte sind von CVE-2021-34523 betroffen?
CVE-2021-34523 betrifft Microsoft Exchange Server, einschließlich Exchange Server 2013, 2016 und 2019. Alle Organisationen mit On-Premises-Exchange-Servern, die nicht die Sicherheitsupdates vom Juli 2021 oder später installiert haben, sind verwundbar. Exchange Online (Microsoft 365) ist nicht betroffen.
Wie behebe ich CVE-2021-34523?
Installieren Sie das neueste Exchange Server Cumulative Update und Security Update gemäß Microsoft-Anweisungen. Verwenden Sie den Exchange Server Health Checker zur Verifizierung. Führen Sie eine gründliche Kompromittierungsbewertung durch, einschließlich Webshell-Scanning und Analyse der Authentifizierungsprotokolle. Implementieren Sie Netzwerk-Schutzmaßnahmen und erwägen Sie eine Migration zu Exchange Online.
Wie schwerwiegend ist CVE-2021-34523?
CVE-2021-34523 ist mit einem CVSS-Score von 9.0 als KRITISCH eingestuft mit geändertem Scope. Der EPSS-Score von 0.93998 (99,89. Perzentile) macht sie zu einer der am häufigsten ausgenutzten Schwachstellen. Es besteht ein bestätigter Ransomware-Zusammenhang. Die CISA-Behebungsfrist war der 2021-11-17.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.