New security updates for Exchange Server (All versions)

by

Microsoft has released security updates for Exchange Server today. Specifically, these updates address the following vulnerabilities:

CVE-2019-0817 applies to all currently supported Exchange Server versions (including Exchange 2010). CVE-2019-0858 affects Exchange from version 2013.

Even if the vulnerability is "only" classified as "Important", the corresponding updates should be installed promptly. It will not be long before the corresponding exploits are published.

Here you will find the corresponding links to download the updates:

Here is an excerpt from the description of the vulnerability:

A spoofing vulnerability exists in Microsoft Exchange Server when Outlook Web Access (OWA) fails to properly handle web requests. An attacker who successfully exploited the vulnerability could perform script or content injection attacks, and attempt to trick the user into disclosing sensitive information. An attacker could also redirect the user to a malicious website that could spoof content or the vulnerability could be used as a pivot to chain an attack with other vulnerabilities in web services.

To exploit the vulnerability, an attacker could send a specially crafted email containing a malicious link to a user. An attacker could also use a chat client to social engineer a user into clicking the malicious link. However, in both examples the user must click the malicious link.

The security update addresses the vulnerability by correcting how OWA validates web requests.

Qulle: CVE-2019-0817 | Microsoft Exchange Spoofing Vulnerability and CVE-2019-0858 | Microsoft Exchange Spoofing Vulnerability

Note: At least for me, the links for Exchange 2010 and Exchange 2013 are still not quite reliable. After a few attempts, however, it worked.

The basic rule is: test updates before they are rolled out in production.

New security updates for Exchange Server (All versions)

8 thoughts on “Neue Sicherheitsupdates für Exchange Server (Alle Versionen)”

  1. Hallo zusammen,

    ich musste bei unserem DAG ebenfalls „Updatecas.PS1“ ausführen und anschlißend IIS restarten damit OWA und ECP wieder erreichbar waren ….

    Reply

  2. Immer das selbe seit 2010 ;)
    Bei mir waren alle Exchange Dienste und IIS nach dem CU auf „Deaktiviert“
    Kenne ich so schon seit 2010 und ich erschrecke auch nicht mehr.
    Wartungsmodus war sauber aktiviert, aber trotzdem schaltet das CU sicherheitshalber alles aus.
    Dienste alle einzeln wieder wie beim Partnerserver eingestellt, Dienste laufen dann auch wieder.

    Reply

  3. Подаются базы Готовые Cвежие базы за январь 2019 года(профилей, топиков, гостевых досок и комментариев для прогонки Xrumer и другими аналогичными программами.
    Очищеные базы для XRumer 18.x.x и GSA Search Engine Ranker ) так же возможен сбор баз на заказ таких порталов как авито и тд По всем возникшим вопросам Вы можете обратиться в скайп логин pokras7777

    Reply

  4. Hi, meine Erfahrungen mit dem gestern installierten Patch (Exchange 2016 CU12 –KB4487563) für unsere Exchange 2016 DAG:

    Update als solches ohne Fehler durchgelaufen. Nach Reboot vom ersten Knoten war der Search Dienst deaktiviert. Das führte dazu, dass der Contentindex der DB’s auf failed stehen blieb. Nach umstellen auf „automatic“ und starten des Dienstes und ein wenig nachhelfen waren die DB’s wieder healthy. Dann den 2. Knoten aktualisiert. Auch hier war der Dienst danach auf Status „deaktiviert“.
    Der „schöne“ Teil folgte allerdings erst heute morgen. Die virt. Verzeichnisse für /OWA und /ECP waren nicht mehr erreichbar.
    Nach einem „updatecas.ps1“ auf beiden Servern lief zumindest OWA wieder. ECP meldete aber:

    Could not load file or assembly ‚Microsoft.Exchange.Common, Version=15.0.0.0, Culture=neutral, PublicKeyToken=31bf3856ad364e35‘ or one of its dependencies. The system cannot find the file specified.

    dies auf beiden Knoten. Hier habe ich dann nach Franks Tipp -> https://www.frankysweb.de/exchange-2016-serverfehler-in-anwendung-owa-und-oder-ecp/

    im Backend die absoluten Pfade gesetzt. Nach einem IIS reset wollte ECP noch nicht. Daher dann nochmal Updatecas.PS1 drüberlaufen lassen und nun sah man auch, dass er das ECP Verzeichnis aktualisierte:

    [10:04:42] Updating ECP to version 15.1.1713.6
    [10:04:42] Copying files from ‚C:\Program Files\Microsoft\Exchange Server\V15\ClientAccess\ecp\Current‘ to ‚C:\Program
    Files\Microsoft\Exchange Server\V15\ClientAccess\ecp\15.1.1713.6‘
    [10:04:43] Update ECP done.

    Danach war ECP auf beiden Knoten wieder erreichbar.
    Vielleicht hilfts einem, der in die selben Fehler lief.

    Danke an Frank für seine unermüdliche Arbeit.

    Gruß,
    Ralf

    Reply

    • bei uns lief das Update auf unserer DAG problemlos durch und es gab auch bis jetzt keinerlei probleme. exchange 2016 mit cu12 wurde aktualisiert

      Reply

  5. Exchange 2016 CU11 sollte wohl Exchange 2016 CU12 heißen: :-)
    Sicherheitsupdate für Exchange Server 2016 kumulative Update 12 (KB4487563) herunterladen

    Grüße

    Erik

    Reply

Leave a Comment