Microsoft hat gestern ein neues Sicherheitsupdate für Exchange Server 2016 und 2019 veröffentlicht. Das Update schließt eine als “Wichtig” eingestufte Schwachstelle.
Beschreibung der Schwachstelle:
A cross-site-scripting (XSS) vulnerability exists when Microsoft Exchange Server does not properly sanitize a specially crafted web request to an affected Exchange server. An authenticated attacker could exploit the vulnerability by sending a specially crafted request to an affected server.
The attacker who successfully exploited the vulnerability could then perform cross-site scripting attacks on affected systems and run script in the security context of the current user. The attacks could allow the attacker to read content that the attacker is not authorized to read, use the victim’s identity to take actions on the Exchange server on behalf of the user, such as change permissions and delete content, and inject malicious content in the browser of the user.
The security update addresses the vulnerability by helping to ensure that Exchange Server properly sanitizes web requests.
Quelle: https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2020-0903
Bisher ist zwar kein Exploit für die Schwachstelle bekannt, dies hat jedoch bei der letzten Sicherheitslücke auch nicht lange auf sich warten lassen. Das Update sollte daher zeitnah installierst werden.
Hier geht es direkt zum Download der Updates:
- Download Security Update For Exchange Server 2019 Cumulative Update 4 (KB4540123)
- Download Security Update For Exchange Server 2019 Cumulative Update 3 (KB4540123)
- Download Security Update For Exchange Server 2016 Cumulative Update 15 (KB4540123)
- Download Security Update For Exchange Server 2016 Cumulative Update 14 (KB4540123)
Hier gibt es noch eine Artikel mit bekannten Problemen mit diesem Update, dieser Artikel sollte unbedingt vor der Installation gelesen werden:
Das Sicherheitsupdate wird auch bereits via Windows Update verteilt und kann somit auch via WSUS installiert werden. Zuvor sollte das Update allerdings getestet werden. Das letzte Update sorgte scheinbar in manchen Umgebungen für Probleme.
