Neue Sicherheitsupdates für Exchange Server (Alle Versionen)

by

Microsoft hat heute Sicherheitsupdates für Exchange Server veröffentlicht. Konkret handelt es sich dabei um um die folgenden Schwachstellen:

CVE-2019-0817 gilt für alle derzeit unterstützen Exchange Server Versionen (auch Exchange 2010). CVE-2019-0858 betrifft Exchange ab Version 2013.

Auch wenn die Schwachstelle “nur” mit den Schweregrad “Wichtig” eingestuft wird, sollten die entsprechenden Updates zeitnah installiert werden. Es wird nicht lange dauern bis entsprechende Exploits veröffentlicht werden.

Hier finden sich die entsprechenden Links zum Download der Updates:

Hier noch ein Auszug aus der Beschreibung der Schwachstelle:

A spoofing vulnerability exists in Microsoft Exchange Server when Outlook Web Access (OWA) fails to properly handle web requests. An attacker who successfully exploited the vulnerability could perform script or content injection attacks, and attempt to trick the user into disclosing sensitive information. An attacker could also redirect the user to a malicious website that could spoof content or the vulnerability could be used as a pivot to chain an attack with other vulnerabilities in web services.

To exploit the vulnerability, an attacker could send a specially crafted email containing a malicious link to a user. An attacker could also use a chat client to social engineer a user into clicking the malicious link. However, in both examples the user must click the malicious link.

The security update addresses the vulnerability by correcting how OWA validates web requests.

Qulle: CVE-2019-0817 | Microsoft Exchange Spoofing Vulnerability und CVE-2019-0858 | Microsoft Exchange Spoofing Vulnerability

Hinweis: Zumindest bei mir sind die Links für Exchange 2010 und Exchange 2013 noch nicht ganz zuverlässig erreichbar. Nach ein paar Versuchen, hat es aber geklappt.

Grundsätzlich gilt: Updates testen, bevor diese in der Produktion ausgerollt werden.

Neue Sicherheitsupdates für Exchange Server (Alle Versionen)

8 thoughts on “Neue Sicherheitsupdates für Exchange Server (Alle Versionen)”

  1. Hallo zusammen,

    ich musste bei unserem DAG ebenfalls „Updatecas.PS1“ ausführen und anschlißend IIS restarten damit OWA und ECP wieder erreichbar waren ….

    Reply

  2. Immer das selbe seit 2010 ;)
    Bei mir waren alle Exchange Dienste und IIS nach dem CU auf „Deaktiviert“
    Kenne ich so schon seit 2010 und ich erschrecke auch nicht mehr.
    Wartungsmodus war sauber aktiviert, aber trotzdem schaltet das CU sicherheitshalber alles aus.
    Dienste alle einzeln wieder wie beim Partnerserver eingestellt, Dienste laufen dann auch wieder.

    Reply

  3. Подаются базы Готовые Cвежие базы за январь 2019 года(профилей, топиков, гостевых досок и комментариев для прогонки Xrumer и другими аналогичными программами.
    Очищеные базы для XRumer 18.x.x и GSA Search Engine Ranker ) так же возможен сбор баз на заказ таких порталов как авито и тд По всем возникшим вопросам Вы можете обратиться в скайп логин pokras7777

    Reply

  4. Hi, meine Erfahrungen mit dem gestern installierten Patch (Exchange 2016 CU12 –KB4487563) für unsere Exchange 2016 DAG:

    Update als solches ohne Fehler durchgelaufen. Nach Reboot vom ersten Knoten war der Search Dienst deaktiviert. Das führte dazu, dass der Contentindex der DB’s auf failed stehen blieb. Nach umstellen auf „automatic“ und starten des Dienstes und ein wenig nachhelfen waren die DB’s wieder healthy. Dann den 2. Knoten aktualisiert. Auch hier war der Dienst danach auf Status „deaktiviert“.
    Der „schöne“ Teil folgte allerdings erst heute morgen. Die virt. Verzeichnisse für /OWA und /ECP waren nicht mehr erreichbar.
    Nach einem „updatecas.ps1“ auf beiden Servern lief zumindest OWA wieder. ECP meldete aber:

    Could not load file or assembly ‚Microsoft.Exchange.Common, Version=15.0.0.0, Culture=neutral, PublicKeyToken=31bf3856ad364e35‘ or one of its dependencies. The system cannot find the file specified.

    dies auf beiden Knoten. Hier habe ich dann nach Franks Tipp -> https://www.frankysweb.de/exchange-2016-serverfehler-in-anwendung-owa-und-oder-ecp/

    im Backend die absoluten Pfade gesetzt. Nach einem IIS reset wollte ECP noch nicht. Daher dann nochmal Updatecas.PS1 drüberlaufen lassen und nun sah man auch, dass er das ECP Verzeichnis aktualisierte:

    [10:04:42] Updating ECP to version 15.1.1713.6
    [10:04:42] Copying files from ‚C:\Program Files\Microsoft\Exchange Server\V15\ClientAccess\ecp\Current‘ to ‚C:\Program
    Files\Microsoft\Exchange Server\V15\ClientAccess\ecp\15.1.1713.6‘
    [10:04:43] Update ECP done.

    Danach war ECP auf beiden Knoten wieder erreichbar.
    Vielleicht hilfts einem, der in die selben Fehler lief.

    Danke an Frank für seine unermüdliche Arbeit.

    Gruß,
    Ralf

    Reply

    • bei uns lief das Update auf unserer DAG problemlos durch und es gab auch bis jetzt keinerlei probleme. exchange 2016 mit cu12 wurde aktualisiert

      Reply

  5. Exchange 2016 CU11 sollte wohl Exchange 2016 CU12 heißen: :-)
    Sicherheitsupdate für Exchange Server 2016 kumulative Update 12 (KB4487563) herunterladen

    Grüße

    Erik

    Reply

Leave a Comment