Vier verse gaten bedreigen Exchange-installaties

De maandelijkse patchronde van Microsoft voor april 2021 brengt onder de updates ook kritieke patches voor Exchange-versies 2013, 2016 en 2019. In die serversoftware bevinden zich vier kwetsbaarheden waarlangs kwaadwillenden op afstand kunnen binnendringen in de netwerken van bedrijven en organisaties. Net zoals de vier zeroday gaten van begin vorige maand, die toen echter vóór de reguliere updatelading uitkwamen.

NCSC en NSA waarschuwen

"Deze kwetsbaarheden zijn verantwoord gemeld aan Microsoft door een securitypartner", aldus de softwareleverancier in zijn informatiebulletin over deze Exchange-gaten. Gebruikers van de gehoste uitvoering (Exchange Online) zijn al beschermd, maar beheerders van on-premise installaties van Exchange moeten aan de bak. De vier kwetsbaarheden hebben erg hoge CVE-scores die de mate van gevaar aangeven: 8,8 en 9,0 en twee keer 9,8. Het Nederlandse securityorgaan NCSC waarschuwt dat de kans op misbruik en schade groot is.

Terwijl Microsoft niet bekend maakt welke securitypartner de ontdekker is van deze nieuwste Exchange-kwetsbaarheden heeft de NSA (National Security Agency) aan de pers verklaard dat het deze gaten heeft ontdekt en gemeld aan de softwareproducent.

'Patch vandaag nog'

De inlichtingendienst van de VS dringt er op aan om de patches van Microsoft direct te installeren. "Misbruik van deze kwetsbaarheden kan leiden tot aanhoudende toegang tot en grip op bedrijfsnetwerken", waarschuwt de NSA in een tweet van gisteravond. In plaats van een formulering als 'zo snel mogelijk patchen' gebruikt de Amerikaanse spionagedienst expliciet de woorden "vandaag nog".

Voor zover officieel bekend is er nog geen sprake van aanvallen via deze nieuwste Exchange-gaten. Dat is echter een kwestie van tijd, die naar verwachting zeer kort zal zijn. Ondertussen is er speculatie opgelaaid waarom de NSA zijn ontdekking van deze hackingang in Microsoft Exchange openbaart. Mogelijk dat er aanwijzingen zijn voor aankomende aanvallen.

Oudere versies upgraden

In tegenstelling tot de Exchange-noodpatches van maart houdt Microsoft het nu bij de meest recente versies van zijn mail- en agendasoftware qua het niveau van de cumulatieve updates (CU's). Het toen uitbrengen van patches voor oudere CU-releases die officieel niet meer worden ondersteund, is gedaan omdat er op dat moment al lopende aanvallen waren, verklaart Microsoft. Voor gebruikers die nog op oudere CU-versies zitten, adviseert de leverancier nu om die installaties te upgraden naar ondersteunde versies om die dan up to date te brengen met de april-patches.