CVE-2022-41040
Microsoft Exchange Server Server-Side Request Forgery Vulnerability
Beschreibung
CVE-2022-41040 ist eine Server-Side-Request-Forgery-Schwachstelle (SSRF) in Microsoft Exchange Server, die Teil der "ProxyNotShell"-Angriffskette ist. In Kombination mit CVE-2022-41082 wird Remote-Code-Execution ermöglicht. Der EPSS-Score von 94,17 % (99,91. Perzentil) belegt eine nahezu sichere aktive Ausnutzung. Die CISA hat die Schwachstelle am 30. September 2022 in den KEV-Katalog aufgenommen, und die Verwendung in Ransomware-Kampagnen ist bestätigt.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | exchange server | 2013; 2016; 2019 |
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-41040(Patch, Vendor Advisory)
- http://packetstormsecurity.com/files/170066/Microsoft-Exchange-ProxyNotShell-Remote-Code-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2022-41040(Mitigation, Patch, Vendor Advisory)
- https://www.kb.cert.org/vuls/id/915563(Third Party Advisory, US Government Resource)
- https://www.secpod.com/blog/microsoft-november-2022-patch-tuesday-patches-65-vulnerabilities-including-6-zero-days/(Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-41040(US Government Resource)
Schwachstellentyp
CWE-918: Server-Side Request Forgery (SSRF)
CVE-2022-41040 ist eine SSRF-Schwachstelle im Autodiscover-Endpunkt von Microsoft Exchange Server. Der Server validiert und beschränkt die Ziele intern generierter Anfragen nicht ordnungsgemäß, was einem authentifizierten Angreifer den Zugriff auf interne Endpunkte ermöglicht.
Mehr erfahren: CWE-918 — Server-Side Request Forgery (SSRF)
Auswirkungsanalyse
CVE-2022-41040 ist eine kritische SSRF-Schwachstelle, die als Einstiegspunkt für die ProxyNotShell-Angriffskette dient. Durch Ausnutzung des SSRF können Angreifer auf normalerweise eingeschränkte interne Exchange-Endpunkte zugreifen, insbesondere das PowerShell-Remoting-Backend. In Kombination mit CVE-2022-41082 wird Remote-Code-Execution mit SYSTEM-Rechten ermöglicht. Vertraulichkeit, Integrität und Verfügbarkeit sind durch die verkettete Ausnutzung kritisch betroffen. Die bestätigte Ransomware-Nutzung und der EPSS-Score von 94,17 % machen diese Schwachstelle zu einer der höchsten Prioritäten.
Exploit-Reifegrad
Die CISA hat die aktive Ausnutzung von CVE-2022-41040 bestätigt und die Schwachstelle am 30. September 2022 in den KEV-Katalog aufgenommen (Behebungsfrist: 21. Oktober 2022). Die Schwachstelle wird nachweislich in Ransomware-Kampagnen als Teil der ProxyNotShell-Kette mit CVE-2022-41082 eingesetzt. Der EPSS-Score von 94,17 % (99,91. Perzentil) belegt nahezu sichere Ausnutzung.
Behebung
- Microsoft-Sicherheitsupdates einspielen: Installieren Sie die November-2022-Exchange-Server-Updates (KB5019758).
- URL-Rewrite-Mitigierung implementieren: Wenden Sie die von Microsoft empfohlene URL-Rewrite-Regel zur Blockierung von Autodiscover-Exploits an.
- Autodiscover-Zugriff einschränken: Begrenzen Sie den externen Zugang zum Autodiscover-Endpunkt per Firewall oder Reverse-Proxy.
- Exchange-Protokolle überwachen: Prüfen Sie IIS-Logs auf verdächtige Muster, die auf SSRF-Ausnutzung des Autodiscover-Endpunkts hindeuten.
- Exchange-Deployment evaluieren: Prüfen Sie, ob Hybrid- oder Cloud-Deployments die On-Premises-Angriffsfläche reduzieren können.
Technische Details
CVE-2022-41040 nutzt den Autodiscover-Endpunkt von Microsoft Exchange Server für Server-Side Request Forgery aus. Die Schwachstelle liegt in der URL-Normalisierung des Exchange-Frontend-Proxys. Ein authentifizierter Angreifer kann Anfragen erstellen, die die URL-Pfadvalidierung umgehen, sodass das Exchange-Frontend die Anfrage an unbeabsichtigte Backend-Dienste weiterleitet, insbesondere den PowerShell-Remoting-Endpunkt. Dieses SSRF ähnelt funktional dem ProxyShell-SSRF (CVE-2021-34473), verwendet jedoch eine andere Umgehungstechnik. Die SSRF-Komponente allein ermöglicht keine Codeausführung, ist aber der entscheidende Wegbereiter für CVE-2022-41082.
Häufig gestellte Fragen
Wird CVE-2022-41040 aktiv ausgenutzt?
Ja, CVE-2022-41040 wird als Teil der ProxyNotShell-Kette aktiv ausgenutzt und ist in Ransomware-Kampagnen bestätigt. Die CISA hat die Schwachstelle am 30. September 2022 in den KEV-Katalog aufgenommen.
Welche Produkte sind von CVE-2022-41040 betroffen?
Betroffen sind Microsoft Exchange Server 2013, 2016 und 2019 in On-Premises-Deployments. Exchange Online ist nicht betroffen.
Wie behebe ich CVE-2022-41040?
Installieren Sie die November-2022-Exchange-Server-Sicherheitsupdates. Als temporäre Maßnahme implementieren Sie die von Microsoft empfohlene URL-Rewrite-Regel.
Wie schwerwiegend ist CVE-2022-41040?
CVE-2022-41040 ist eine kritische SSRF-Schwachstelle mit einem EPSS-Score von 94,17 % und bestätigter Ransomware-Nutzung. Als Teil der ProxyNotShell-Kette ermöglicht sie Remote-Code-Execution auf Exchange-Servern.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.