CVE-2023-21529
Microsoft Exchange Server Deserialization of Untrusted Data Vulnerability
Beschreibung
CVE-2023-21529 ist eine als HOCH eingestufte Schwachstelle durch Deserialisierung nicht vertrauenswürdiger Daten in Microsoft Exchange Server, die Remote Code Execution ermöglicht, mit einem CVSS-3.1-Score von 8.8. Ein authentifizierter Angreifer mit einer beliebigen gültigen Exchange-Mailbox kann eine präparierte Anfrage senden, die von einem verwundbaren .NET-Deserialisierer verarbeitet wird, und so beliebigen Code im Kontext des Exchange-Dienstes — typischerweise SYSTEM — ausführen. Betroffen sind Microsoft Exchange Server 2013, 2016 und 2019; der Patch wurde im Februar-2023-Patchday bereitgestellt. Die CISA hat CVE-2023-21529 am 13. April 2026 in den Katalog der bekannten aktiv ausgenutzten Schwachstellen (KEV) aufgenommen, nachdem Microsoft die Ausnutzung durch das Storm-1175-Cluster im Rahmen von Medusa-Ransomware-Operationen dokumentiert hat; die Behebungsfrist für US-Bundesbehörden ist der 27. April 2026. Mit einem EPSS-Score von 0,35017 (97,0. Perzentil) zählt CVE-2023-21529 zu den am wahrscheinlichsten aktiv ausgenutzten Schwachstellen und ist für jede noch on-premises betriebene Exchange-Umgebung als priorisierter Patch zu behandeln.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | exchange server | 2013; 2016; 2019 |
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-21529(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-21529(US Government Resource)
- https://www.microsoft.com/en-us/security/blog/2026/04/06/storm-1175-focuses-gaze-on-vulnerable-web-facing-assets-in-high-tempo-medusa-ransomware-operations/(Technical Description)
Schwachstellentyp
CWE-502: Deserialisierung nicht vertrauenswürdiger Daten
CVE-2023-21529 ist als CWE-502 klassifiziert. Microsoft Exchange Server rekonstruiert .NET-Objekte aus vom Angreifer kontrollierten serialisierten Eingaben, ohne hinreichend zu prüfen, ob der resultierende Objektgraph gültig und sicher ist. Ein authentifizierter Angreifer, der das Exchange-Frontend erreichen kann, kann gezielt präparierte serialisierte Payloads einreichen, die beliebige Klassen instanziieren oder gefährliche Gadget-Ketten während der Deserialisierung auslösen, und so Remote Code Execution unter dem Exchange-Dienstkonto erzielen.
Mehr erfahren: CWE-502 — Deserialisierung nicht vertrauenswürdiger Daten
Auswirkungsanalyse
CVE-2023-21529 hat einen CVSS-3.1-Basiswert von 8.8 (HOCH) mit dem Vektor AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H. Die Schwachstelle ist damit über das Netzwerk remote ausnutzbar gegenüber jedem erreichbaren Exchange Server bei geringer Angriffskomplexität, niedrigen erforderlichen Rechten (ein beliebiger authentifizierter Mailbox-Benutzer genügt) und ohne Benutzerinteraktion. Der Scope ist Unchanged, die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit sind jedoch alle HOCH, da eine erfolgreiche Ausnutzung Remote Code Execution im Kontext des Exchange-Dienstes ermöglicht, der in den meisten Umgebungen als SYSTEM oder mit hochprivilegierten domänengebundenen Identitäten läuft — ein Angreifer kann jede Mailbox lesen oder manipulieren, Malware oder Webshells ablegen, in Active Directory pivotieren und den Mailfluss nach Belieben stören. Angesichts der von Microsoft dokumentierten Beobachtungen des Storm-1175-Clusters, das web-exponierte Exchange-Assets im Rahmen von Medusa-Ransomware-Operationen angreift, und eines EPSS-Scores von 35,02 % (97,0. Perzentil) sollten Organisationen, die Exchange Server 2013, 2016 oder 2019 on-premises betreiben, CVE-2023-21529 als hochwahrscheinlichen Pfad zu einer vollständigen Tenant-Kompromittierung behandeln.
Exploit-Reifegrad
CVE-2023-21529 ist im CISA-Katalog der bekannten aktiv ausgenutzten Schwachstellen (KEV) gelistet (aufgenommen am 2026-04-13 mit Behebungsfrist 2026-04-27), und das Threat-Intelligence-Team von Microsoft hat aktiven Missbrauch öffentlich dokumentiert: Der Blog-Beitrag Storm-1175 focuses gaze on vulnerable web-facing assets in high-tempo Medusa ransomware operations beschreibt, wie das Storm-1175-Cluster diese Deserialisierungsschwachstelle gegen internet-exponierte Exchange-Server-Deployments im Rahmen von Medusa-Ransomware-Einbrüchen einsetzt. Der EPSS-Score von 35,02 % (97,0. Perzentil) platziert CVE-2023-21529 unter den oberen 3 % der nach Ausnutzungswahrscheinlichkeit bewerteten Schwachstellen. Obwohl der KEV-Eintrag derzeit das Ransomware-Feld nicht als "Known" kennzeichnet, verknüpft die Microsoft-Berichterstattung die Ausnutzung dieser Exchange-Deserialisierungsschwachstelle klar mit Ransomware-Aktivitäten in freier Wildbahn; Verteidiger sollten davon ausgehen, dass funktionsfähiges Exploit-Tooling breit im Umlauf ist, und Patching sowie Post-Exploitation-Hunting entsprechend planen.
Behebung
- Microsoft-Sicherheitsupdate vom Februar 2023 oder neuer unverzüglich installieren. Gemäß der CISA-Vorgabe für CVE-2023-21529 sind die Herstelleranweisungen umzusetzen und die BOD-22-01-Frist 2026-04-27 einzuhalten. Folgen Sie dem Microsoft Security Response Center Advisory, installieren Sie das behobene kumulative Update für Exchange Server 2013, 2016 und 2019 und starten Sie die betroffenen Server neu.
- Bestand aller on-premises und hybrid betriebenen Exchange-Server erheben. Bestätigen Sie die Build-Nummer jeder Exchange-Server-2013-, 2016- und 2019-Instanz — einschließlich Servern, die ausschließlich für hybrides Management online gehalten werden — und planen Sie Patching (oder Decommissioning) für alle, die unterhalb des fehlerbereinigten Builds liegen. Exchange 2013 hat das Supportende erreicht; eine Migration weg von diesem Produkt wird dringend empfohlen.
- Exponierung des Exchange-Frontends reduzieren. Da CVE-2023-21529 zwar eine Authentifizierung erfordert, aber über das Netzwerk erreichbar ist, beschränken Sie Outlook on the Web, EWS, ECP und Autodiscover auf vertrauenswürdige IP-Bereiche oder VPN-Benutzer, erzwingen Sie Conditional Access und MFA am Exchange-Frontend und stellen Sie sicher, dass keine Legacy-Protokolle MFA umgehen. Dies reduziert direkt den Kreis potenzieller Identitäten, die die präparierte Deserialisierungs-Payload einreichen können.
- Nach Storm-1175- und Medusa-Ransomware-Indikatoren jagen. Lesen Sie den Microsoft-Threat-Intelligence-Beitrag Storm-1175 focuses gaze on vulnerable web-facing assets in high-tempo Medusa ransomware operations und prüfen Sie IIS-Logs, Exchange-ECP/OWA-Logs sowie EDR-Telemetrie auf auffällige Prozessbäume, die aus w3wp.exe gestartet werden (z. B. cmd.exe, powershell.exe, rundll32.exe), auf abgelegte Webshells in Exchange-virtuellen Verzeichnissen und auf ausgehende Verbindungen zu Medusa-C2-Infrastruktur.
- CWE-502-Härtung zusätzlich zum Patch umsetzen. Entfernen Sie unnötige Exchange-Rollen aus der Internet-Exponierung, halten Sie die Antimalware Scan Interface (AMSI) für IIS aktiviert, stellen Sie sicher, dass der Exchange Emergency Mitigation Service (EEMS) aktiv ist, um Microsofts URL-Rewrite-Mitigationen zeitnah zu erhalten, und fordern Sie Integritätsprüfungen für jeglichen zukünftigen serialisierten Transport.
- Migration weg von on-premises Exchange planen. Angesichts der anhaltenden Häufigkeit kritischer Deserialisierungs- und RCE-Findings in Exchange Server sollten Sie eine Migration zu Exchange Online oder einem gehärteten Hybrid-Modell prüfen und Legacy-Exchange-Server zügig außer Betrieb nehmen, um die langfristige CWE-502-Exposition zu reduzieren.
Technische Details
CVE-2023-21529 ist eine Deserialisierungsschwachstelle in Microsoft Exchange Server 2013, 2016 und 2019, bei der serialisierte .NET-Objekte, die von einem authentifizierten Benutzer übermittelt werden, ohne adäquate Typbeschränkung oder Integritätsprüfung rekonstruiert werden — das kanonische CWE-502-Muster. Da Exchange einen serialisierten Stream entgegennimmt, zu lebenden Objekten materialisiert und Methoden auf diesen Objekten aufruft (etwa während Callback-, Property-Setter- oder Konstruktor-Ausführung), kann ein Angreifer eine Payload konstruieren, die die .NET-Laufzeit durch eine bekannte Gadget-Kette steuert und letztlich vom Angreifer gewählten Code im Exchange-Worker-Prozess ausführt (typischerweise w3wp.exe oder ein Exchange-Dienstprozess, der als NT AUTHORITY\SYSTEM läuft). Der CVSS-3.1-Vektor AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H bestätigt den Remote-, Low-Complexity- und authentifiziert-aber-niedrig-privilegierten Charakter: Jeder Benutzer, der eine authentifizierte Anfrage an einen verwundbaren Exchange-Endpunkt senden kann, kann den Codepfad auslösen; Benutzerinteraktion ist nicht erforderlich, und eine einzige erfolgreiche Anfrage kann zur vollständigen Systemkompromittierung des Exchange-Hosts führen — und damit zur Beeinträchtigung der Integrität und Vertraulichkeit der Mailbox-Daten der gesamten Organisation. Microsoft hat die Schwachstelle mit dem Exchange-Server-Sicherheitsupdate vom Februar 2023 behoben (siehe MSRC-Advisory).
Häufig gestellte Fragen
Wird CVE-2023-21529 aktiv ausgenutzt?
Ja. CVE-2023-21529 wurde am 2026-04-13 in den CISA-KEV-Katalog aufgenommen, und das Threat-Intelligence-Team von Microsoft hat die Ausnutzung durch das Storm-1175-Cluster im Rahmen von Medusa-Ransomware-Operationen öffentlich dokumentiert. Der EPSS-Score von 35,02 % (97,0. Perzentil) unterstreicht zusätzlich, dass eine aktive Ausnutzung hochwahrscheinlich ist.
Welche Produkte sind von CVE-2023-21529 betroffen?
CVE-2023-21529 betrifft Microsoft Exchange Server 2013, Exchange Server 2016 und Exchange Server 2019 in on-premises Deployments. Exchange Online ist nicht betroffen. Organisationen sollten jeden on-premises und hybrid betriebenen Exchange-Server inventarisieren und sicherstellen, dass jeweils das kumulative bzw. Sicherheitsupdate vom Februar 2023 oder neuer installiert ist.
Wie behebe ich CVE-2023-21529?
Installieren Sie das Microsoft-Sicherheitsupdate für Exchange Server gemäß MSRC-Advisory, beschränken Sie die Netzwerk-Exponierung der Exchange-Frontend-Dienste, erzwingen Sie MFA und halten Sie den Exchange Emergency Mitigation Service (EEMS) aktiv, um zeitnahe URL-Rewrite-Mitigationen zu erhalten. Suchen Sie nach dem Patchen aktiv nach Storm-1175- und Medusa-Ransomware-Indikatoren in IIS-, ECP/OWA- und EDR-Logs.
Wie schwerwiegend ist CVE-2023-21529?
CVE-2023-21529 ist als HOCH eingestuft mit einem CVSS-3.1-Basiswert von 8.8, und das EPSS-Ranking im 97,0. Perzentil platziert die Schwachstelle unter den am wahrscheinlichsten ausgenutzten Schwachstellen überhaupt. Da eine erfolgreiche Ausnutzung Remote Code Execution im Kontext des Exchange-Dienstes mit HOHEN Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit ermöglicht, sollten ungepatchte Exchange-2013-, -2016- und -2019-Server als geschäftskritisches Tenant-Risiko behandelt werden.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.