CVE-2022-41082
Microsoft Exchange Server Remote Code Execution Vulnerability
Beschreibung
CVE-2022-41082, bekannt als Teil der "ProxyNotShell"-Angriffskette, ist eine Remote-Code-Execution-Schwachstelle in Microsoft Exchange Server, die einem authentifizierten Angreifer die Ausführung beliebigen Codes ermöglicht. In Kombination mit CVE-2022-41040 (SSRF) wird eine vollständig nicht authentifizierte Codeausführung möglich. Mit einem EPSS-Score von 91,19 % (99,65. Perzentil) gehört CVE-2022-41082 zu den am stärksten ausgenutzten Exchange-Schwachstellen. Die CISA hat sie am 30. September 2022 in den KEV-Katalog aufgenommen, und die Nutzung in Ransomware-Kampagnen ist bestätigt.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:A/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | exchange server | 2013; 2016; 2019 |
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-41082(Vendor Advisory)
- http://packetstormsecurity.com/files/170066/Microsoft-Exchange-ProxyNotShell-Remote-Code-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2022-41082(Patch, Vendor Advisory)
- https://www.kb.cert.org/vuls/id/915563(Third Party Advisory, US Government Resource)
- https://www.secpod.com/blog/microsoft-november-2022-patch-tuesday-patches-65-vulnerabilities-including-6-zero-days/(Third Party Advisory)
- https://www.vicarius.io/vsociety/posts/cve-2022-41082-microsoft-exchange-server-remote-code-execution-vulnerability-detection-script(Third Party Advisory)
- https://www.vicarius.io/vsociety/posts/cve-2022-41082-microsoft-exchange-server-remote-code-execution-vulnerability-mitigation-script(Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-41082(US Government Resource)
Schwachstellentyp
CWE-94: Improper Control of Generation of Code ('Code Injection')
CVE-2022-41082 nutzt eine Code-Injection-Schwachstelle im PowerShell-Backend von Microsoft Exchange Server aus. Ein authentifizierter Angreifer kann über den Exchange-PowerShell-Remoting-Endpunkt beliebigen Code mit SYSTEM-Rechten einschleusen und ausführen.
Mehr erfahren: CWE-94 — Improper Control of Generation of Code ('Code Injection')
Auswirkungsanalyse
CVE-2022-41082 ermöglicht authentifizierte Remote-Code-Execution auf Microsoft Exchange Server – einer der kritischsten Infrastrukturkomponenten in Unternehmensumgebungen. In Kombination mit CVE-2022-41040 (SSRF) entfällt die Authentifizierungsanforderung vollständig. Vertraulichkeit, Integrität und Verfügbarkeit sind kritisch betroffen: Ein erfolgreicher Exploit gewährt SYSTEM-Zugang zum Exchange-Server, legt alle E-Mail-Daten offen und ermöglicht Lateral Movement in das Active Directory. Die bestätigte Ransomware-Nutzung und der EPSS-Score von 91,19 % machen diese Schwachstelle zur höchsten Priorität.
Exploit-Reifegrad
Die CISA hat die aktive Ausnutzung von CVE-2022-41082 bestätigt und die Schwachstelle am 30. September 2022 in den KEV-Katalog aufgenommen (Behebungsfrist: 21. Oktober 2022). Die Schwachstelle wird nachweislich in Ransomware-Kampagnen eingesetzt. Der EPSS-Score von 91,19 % (99,65. Perzentil) belegt nahezu sichere Ausnutzungsaktivität. Die kombinierte ProxyNotShell-Kette mit CVE-2022-41040 wird von zahlreichen Bedrohungsgruppen aktiv genutzt.
Behebung
- Microsoft-Sicherheitsupdates einspielen: Installieren Sie die November-2022-Exchange-Server-Updates (KB5019758), die sowohl CVE-2022-41082 als auch CVE-2022-41040 beheben.
- URL-Rewrite-Mitigierung anwenden: Falls sofortiges Patching nicht möglich ist, implementieren Sie die von Microsoft empfohlene URL-Rewrite-Regel.
- Remote-PowerShell einschränken: Beschränken Sie den PowerShell-Remoting-Zugang auf wesentliche Administratorkonten.
- Kompromittierungsindikatoren prüfen: Suchen Sie nach Webshells in Exchange-Verzeichnissen und überprüfen Sie Protokolle auf verdächtige PowerShell-Ausführung.
- Migration zu Exchange Online erwägen: Evaluieren Sie den Umzug zu Microsoft 365, um die Angriffsfläche von On-Premises-Exchange zu reduzieren.
Technische Details
CVE-2022-41082 zielt auf den PowerShell-Remoting-Endpunkt von Microsoft Exchange Server ab, der über den Autodiscover-Dienst erreichbar ist. Die Schwachstelle erlaubt einem authentifizierten Angreifer, PowerShell-Cmdlets auszuführen, die zu beliebiger Codeausführung mit SYSTEM-Rechten führen. In der ProxyNotShell-Angriffskette wird zunächst CVE-2022-41040 (SSRF) verwendet, um über den Autodiscover-Mechanismus auf das PowerShell-Backend zuzugreifen. Anschließend wird CVE-2022-41082 ausgelöst, um beliebige Befehle auszuführen. Der Angriff ähnelt funktional der früheren ProxyShell-Kette, verwendet jedoch einen anderen SSRF-Mechanismus.
Häufig gestellte Fragen
Wird CVE-2022-41082 aktiv ausgenutzt?
Ja, CVE-2022-41082 wird aktiv ausgenutzt und nachweislich in Ransomware-Kampagnen verwendet. Die CISA hat die Schwachstelle am 30. September 2022 in den KEV-Katalog aufgenommen. Der EPSS-Score von 91,19 % belegt nahezu sichere Ausnutzung.
Welche Produkte sind von CVE-2022-41082 betroffen?
Betroffen sind Microsoft Exchange Server 2013, 2016 und 2019. Exchange Online (Microsoft 365) ist nicht betroffen. Die Schwachstelle ist besonders gefährlich in Kombination mit CVE-2022-41040.
Wie behebe ich CVE-2022-41082?
Installieren Sie die November-2022-Exchange-Server-Sicherheitsupdates. Als vorübergehende Maßnahme implementieren Sie die von Microsoft empfohlene URL-Rewrite-Regel.
Wie schwerwiegend ist CVE-2022-41082?
CVE-2022-41082 ist eine kritische Remote-Code-Execution-Schwachstelle mit einem EPSS-Score von 91,19 % und bestätigter Ransomware-Nutzung. In Kombination mit CVE-2022-41040 ermöglicht sie nicht authentifizierte Codeausführung auf Exchange-Servern.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.