Laut einer Pressmitteilung von Microsoft gibt es gezielte Angriffe von chinesischen Staatshackern auf Exchange-Server. Notfall-Patches wurden direkt released, die Sicherheitslücke direkt schließen. Die Sicherheitslücke ermöglicht einen dauerhaften Zugriff mit Systemberechtigung auf den kompletten Exchange-Servern, wodurch Informationen aus den Postfächern und Adressbüchern ausgelesen werden können.

ZEHNTAUSENDE E-MAIL-SERVER DURCH HAFNIUM GEHACKT

Laut Microsoft war eine „Zero-Day“ Sicherheitslücke dafür verantwortlich, dass ein Zugriff auf die Exchange-Server möglich war. Der Dienst Exchange Cloud-Service war nicht von der Sicherheitslücke betroffen. Folgende Server sind ohne den Patch aktuell betroffen:

• Exchange Server 2010 (RU 31 for Service Pack 3)
• Exchange Server 2013 (CU 23)
• Exchange Server 2016 (CU 19, CU 18)
• Exchange Server 2019 (CU 8, CU 7)

Microsoft veröffentlichte zu den einzelnen Systemen entsprechende Infos und Hilfestellungen: https://msrc-blog.microsoft.com/2021/03/02/multiple-security-updates-released-for-exchange-server/

Der amerikanische Konzern macht die Hackergruppe Hafnium für den Angriff verantwortlich. Besondere Fokus der Angriff läge besonders auf Gesundheitseinrichtungen, Anwaltskanzleien, Hochschuleinrichtungen und Rüstungsunternehmen: https://www.microsoft.com/security/blog/2021/03/02/hafnium-targeting-exchange-servers/

BSI VERGIBT BEDROHUNGSLAGE 4

Mit der Veröffentlichung von Microsoft nahm die Intensität der Angriffe noch weiter zu. Vermutlich versuchen, unabhängig von Hafnium, andere Dritte die Schwachstellen der Server auszunutzen. Das BSI hat daraufhin zum zweiten Mal in seiner Geschichte die IT-Bedrohungslage der Stufe 4/Rot vergeben:

 

• Stufe 1/Grau: Die IT-Bedrohungslage ist ohne wesentliche Auffälligkeiten auf anhaltenden Niveau.
• Stufe 2/Gelb: IT-Bedrohungslage mit verstärkter Beobachtung von Auffälligkeiten unter temporärer Beeinträchtigung des Regelbetriebs.
• Stufe 3/Orange: Die IT-Bedrohungslage ist geschäftskritisch. Massive Beeinträchtigung des Regelbetriebs.
• Stufe 4/Rot: Die IT-Bedrohungslage ist extrem kritisch. Ausfall vieler Dienste, der Regelbetrieb kann nicht aufrecht erhalten werden

 

Stufe 4 besagt, dass die Bedrohungslage extrem kritisch ist, viele Dienste ausfallen und somit nicht mehr erreichbar sind. Hier finden Sie die Sicherheitswarnung des BSI.

In seinem Schreiben geht das BSI auf die besonderen Sicherheitslücken ein und nennt konkrete Update-Anforderungen für CVE-2021-26855, CVE-2021-26857, CVE-2021-26858 und CVE-2021-27065

TECHNISCHE DETAILS

Microsoft stellt folgende technischen Details zur Verfügung, um die Sicherheitslücken der Angreifer nachzuvollziehen:

• CVE-2021-26855 ist eine SSRF-Schwachstelle (Server-Side Request Forgery) in Exchange, die es dem Angreifer ermöglicht, beliebige HTTP-Anfragen zu senden und sich als Exchange-Server zu authentifizieren.
• CVE-2021-26857 ist eine unsichere Deserialisierungsschwachstelle im Unified Messaging-Dienst. Eine unsichere Deserialisierung liegt vor, wenn nicht vertrauenswürdige, vom Benutzer kontrollierbare Daten von einem Programm deserialisiert werden. Durch das Ausnutzen dieser Schwachstelle konnte HAFNIUM Code als SYSTEM auf dem Exchange-Server ausführen. Dies erfordert Administratorrechte oder eine andere Schwachstelle, die ausgenutzt werden kann.
• CVE-2021-26858 ist eine Sicherheitsanfälligkeit in Exchange, bei der nach der Authentifizierung beliebige Dateien geschrieben werden können. Wenn HAFNIUM sich beim Exchange-Server authentifizieren könnte, könnte es diese Sicherheitsanfälligkeit nutzen, um eine Datei in einen beliebigen Pfad auf dem Server zu schreiben. Sie könnten sich authentifizieren, indem sie die SSRF-Schwachstelle CVE-2021-26855 ausnutzen oder die Anmeldedaten eines legitimen Administrators ausspionieren.
• CVE-2021-27065 ist eine Schwachstelle für das Schreiben beliebiger Dateien nach der Authentifizierung in Exchange. Wenn HAFNIUM sich beim Exchange-Server authentifizieren konnte, konnte es diese Schwachstelle nutzen, um eine Datei in einen beliebigen Pfad auf dem Server zu schreiben. Sie könnten sich authentifizieren, indem sie die SSRF-Schwachstelle CVE-2021-26855 ausnutzen oder die Anmeldedaten eines legitimen Administrators ausspionieren.

HANDLUNGSEMPFEHLUNG

Prüfen Sie dringend, ob Ihre Exchange-server davon betroffen sind und spielen Sie die notwendigen Sicherheits-Updates ein. Setzen Sie sich hier mit Ihrem It-Dienstleister in Verbindung. Jedes Unternehmen, welches einen Exchange-Server von MS nutzt, muss aktuell von einer potentiellen Kompromittierung ausgehen. Sollten Sie eine Kompromittierung feststellen, kontaktieren Sie Ihren P29-Datenschutzbeauftragten, da ein mögliche Datenpanne vorliegt.