Am 03.03.2021 hat Microsoft die Existenz von vier Zero-Day-Lücken in lokal (on premise) betriebenen Exchange-Servern offiziell bestätigt und entsprechende Sicherheitsupdates veröffentlicht. Die Lücken wurden durch das Bundesamt für Sicherheit in der Informationstechnik (BSI) mit der Bedrohungsstufe 4 „sehr hoch“ bewertet.
Die Lücken ermöglichen es Angreifern unter bestimmten Umständen, auf Informationen zuzugreifen, die auf den Servern abgelegt sind (E-Mails, Adressbücher, Kalender etc.) sowie beliebigen Code auf den Servern zu schreiben und auszuführen.
Es gibt Hinweise, dass die Sicherheitslücke durch eine „Hafnium“ genannte Hackergruppe bereits aktiv ausgenutzt wurde. In einigen Fällen wurde dabei Software hinterlegt, die einen Zugriff auch nach Beheben der eigentlichen Sicherheitslücke ermöglichen sollte.
Daneben wurde von Sicherheitsforschern bereits ein öffentlich verfügbares Exploit entdeckt, so dass Angriffe nicht mehr nur auf diese eine Hackergruppe beschränkt sind.
Nach Einschätzung des BSI sollte bei Systemen, die bis dato nicht gepatched wurden, von einer Kompromittierung ausgegangen werden.
Weiteres Vorgehen:
- Prüfen Sie, ob die von Ihnen eingesetzten Exchange-Server bereits auf den aktuellen Softwarestand gebracht wurden und holen Sie dies gegebenenfalls unverzüglich nach.
- Prüfen sie, ob von einer Kompromittierung auszugehen ist. Entsprechende Hinweise wurden durch das BSI auf dessen Homepage veröffentlicht.
- Sollte ein System kompromittiert sein, stellt dies in der Regel einen meldepflichtigen Vorfall gem. Art. 33 DS-GVO dar.
Weitere Informationen finden Sie unter folgenden Links:
BSI - Pressemitteilung, 05.03.2021
BSI- Sicherheitswarnung, 12.03.2021
Bayerisches Landesamt für Datenschutzaufsicht – FAQ zu Sicherheitslücken bei Microsoft Exchange-Mail-Servern, 09.03.2021
https://www.lda.bayern.de/de/thema_exchange_sicherheitsluecke.html
Microsoft – Blogeintrag Exchange-Team mit Links zu den Updates, 02.03.2021
Microsoft - Multiple Security Updates Released for Exchange Server – updated March 8, 2021, 02.03.2021
https://msrc-blog.microsoft.com/2021/03/02/multiple-security-updates-released-for-exchange-server/
Microsoft – HAFNIUM targeting Exchange Servers with 0-day exploits, 08.03.2021
https://www.microsoft.com/security/blog/2021/03/02/hafnium-targeting-exchange-servers/
Microsoft - allg. hinweise zum Härten von Exchange, 24.06.2020
https://www.microsoft.com/security/blog/2020/06/24/defending-exchange-servers-under-attack/
Der Bayerische Landesbeauftragte für den Datenschutz & Bayerisches Landesamt für Datenschutzaufsicht – Praxishilfe, 13.03.2021
https://www.lda.bayern.de/media/themen/exchange_security_check_incident_response.pdf
BSI - Microsoft Exchange Schwachstellen Detektion und Reaktion, 12.03.2021