CVE-2021-42321
Microsoft Exchange Server Remote Code Execution Vulnerability
Beschreibung
CVE-2021-42321 ist eine schwerwiegende Remote Code Execution-Schwachstelle in Microsoft Exchange Server. Die Schwachstelle entsteht durch eine unsachgemäße Validierung von Cmdlet-Argumenten, die es einem authentifizierten Angreifer ermöglicht, beliebigen Code auf dem Server auszuführen. CISA hat CVE-2021-42321 in den Known Exploited Vulnerabilities-Katalog aufgenommen und damit die aktive Ausnutzung in freier Wildbahn bestätigt. Mit einem EPSS-Score von 93,4 % (99,8. Perzentile) besteht eine nahezu sichere Ausnutzungswahrscheinlichkeit. Die Schwachstelle wird auch in Verbindung mit Ransomware-Kampagnen gebracht, was die Dringlichkeit der Behebung zusätzlich erhöht.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | exchange server | 2016; 2019 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-42321
- http://packetstormsecurity.com/files/166153/Microsoft-Exchange-Server-Remote-Code-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/168131/Microsoft-Exchange-Server-ChainedSerializationBinder-Remote-Code-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2021-42321(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-42321(US Government Resource)
Schwachstellentyp
CWE-502: Deserialisierung nicht vertrauenswürdiger Daten
Die unsachgemäße Validierung von Cmdlet-Argumenten in Microsoft Exchange Server deutet auf eine Deserialisierungsschwachstelle hin, bei der speziell gestaltete serialisierte Daten verarbeitet werden, ohne deren Sicherheit zu überprüfen. In Exchange Server ermöglicht dies einem authentifizierten Angreifer, über manipulierte Cmdlet-Argumente beliebigen Code auszuführen.
Weitere Informationen: CWE-502 — Deserialisierung nicht vertrauenswürdiger Daten
Auswirkungsanalyse
CVE-2021-42321 hat einen CVSS 3.1-Score von 8.8 (HIGH) und stellt eine erhebliche Bedrohung für Organisationen dar, die Microsoft Exchange Server betreiben. Die Schwachstelle ist über das Netzwerk ausnutzbar bei geringer Angriffskomplexität, erfordert jedoch eine niedrige Authentifizierungsstufe. Keine Benutzerinteraktion ist nötig, um den Angriff durchzuführen. Eine erfolgreiche Ausnutzung gefährdet Vertraulichkeit, Integrität und Verfügbarkeit gleichermaßen schwerwiegend — ein Angreifer kann vertrauliche E-Mail-Daten lesen, manipulieren und den gesamten Exchange-Dienst lahmlegen. Der EPSS-Score von 93,4 % signalisiert eine nahezu sichere Ausnutzung, und die bestätigte Verbindung zu Ransomware-Kampagnen erhöht das operative Risiko für betroffene Organisationen erheblich.
Exploit-Reifegrad
Öffentlicher Exploit-Code ist verfügbar für CVE-2021-42321, unter anderem über Packet Storm Security und eine weitere ChainedSerializationBinder-Variante. CISA hat die aktive Ausnutzung dieser Schwachstelle bestätigt und sie in den Known Exploited Vulnerabilities-Katalog aufgenommen. Der EPSS-Score von 93,4 % (99,8. Perzentile) zeigt eine nahezu sichere Ausnutzungsaktivität an. Darüber hinaus ist CVE-2021-42321 in Ransomware-Angriffen zum Einsatz gekommen, was die Bedrohungslage für ungeschützte Exchange-Server erheblich verschärft.
Behebung
- Pflichtmaßnahme laut CISA KEV: Apply updates per vendor instructions. Installieren Sie umgehend die von Microsoft bereitgestellten Sicherheitsupdates für Exchange Server.
- Aktualisieren Sie alle betroffenen Instanzen von Microsoft Exchange Server 2016 und Exchange Server 2019 auf die neuesten kumulativen und Sicherheitsupdates.
- Falls eine sofortige Aktualisierung nicht möglich ist, beschränken Sie den Netzwerkzugriff auf den Exchange Server, insbesondere auf die Verwaltungsschnittstellen und PowerShell-Endpunkte, mittels Firewall-Regeln und Netzwerksegmentierung.
- Überwachen Sie Exchange-Server-Protokolle auf verdächtige Cmdlet-Ausführungen, ungewöhnliche Deserialisierungsaktivitäten und Anzeichen für Web-Shells. Prüfen Sie Systeme auf bekannte Kompromittierungsindikatoren.
- Implementieren Sie langfristig eine Strategie zur Vermeidung unsicherer Deserialisierung, einschließlich strenger Eingabevalidierung für alle administrativen Schnittstellen und regelmäßiger Sicherheitsaudits der Exchange-Infrastruktur.
Technische Details
CVE-2021-42321 betrifft Microsoft Exchange Server 2016 und 2019 und basiert auf einer unsachgemäßen Validierung von Cmdlet-Argumenten, die zu einer Deserialisierungsschwachstelle führt. Ein authentifizierter Angreifer kann speziell gestaltete serialisierte Daten über die Exchange-Verwaltungsschnittstelle einschleusen, die ohne ausreichende Überprüfung deserialisiert werden und zur Ausführung beliebigen Codes führen. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H bestätigt, dass der Angriff netzwerkbasiert, einfach durchzuführen und mit geringen Berechtigungen möglich ist. Die Kombination aus netzwerkbasiertem Angriffsvektor, niedriger Komplexität und vollständiger Kompromittierung aller Sicherheitsziele macht diese Schwachstelle besonders gefährlich für öffentlich erreichbare Exchange-Server.
Häufig gestellte Fragen
Wird CVE-2021-42321 aktiv ausgenutzt?
Ja. CVE-2021-42321 ist im CISA Known Exploited Vulnerabilities-Katalog gelistet, was eine aktive Ausnutzung bestätigt. Der EPSS-Score von 93,4 % (99,8. Perzentile) zeigt eine nahezu sichere Ausnutzungsaktivität. Darüber hinaus wurde die Schwachstelle in Ransomware-Kampagnen verwendet.
Welche Produkte sind von CVE-2021-42321 betroffen?
CVE-2021-42321 betrifft Microsoft Exchange Server in den Versionen 2016 und 2019. Organisationen, die diese Exchange-Server-Versionen on-premises betreiben, sollten umgehend prüfen, ob Sicherheitsupdates installiert sind.
Wie behebe ich CVE-2021-42321?
Installieren Sie die von Microsoft bereitgestellten Sicherheitsupdates für Exchange Server 2016 und 2019. Falls ein sofortiges Patchen nicht möglich ist, beschränken Sie den Netzwerkzugriff auf Exchange-Verwaltungsschnittstellen und überwachen Sie Systeme auf Kompromittierungsindikatoren.
Wie schwerwiegend ist CVE-2021-42321?
CVE-2021-42321 hat einen CVSS 3.1-Score von 8.8 (HIGH) und ermöglicht Remote Code Execution auf Exchange-Servern. Der extrem hohe EPSS-Score von 93,4 % und die bestätigte Verwendung in Ransomware-Angriffen machen diese Schwachstelle zu einer der dringendsten Bedrohungen für Exchange-Umgebungen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.