Waarschuwing voor kritieke Exchange-patch

Het Nationaal Cyber Security Centrum (NCSC) schaalt de kwetsbaarheid in Microsoft Exchange in als High/High, wat slaat op de misbruikkans en de potentiële schade. Dit security-orgaan voor overheidsinstanties en kritieke organisaties is beperkt in zijn 'bereik' en waarschuwt het reguliere bedrijfsleven dus niet. Die taak is voor het Digital Trust Center (DTC), wat net als het NCSC onder de Rijksoverheid valt.

Microsoft: geen grote kans

Security-orgaan DTC heeft nu een algemene waarschuwing afgegeven over het te patchen gat in Exchange Server. Microsoft heeft updates uitgebracht voor vier verschillende versies van de twee Exchange-releases waarop CVE-2020-16875 van toepassing is. Een aanvaller kan door middel van die kwetsbaarheid op afstand eigen code uitvoeren op een Exchange-server. Dit gebeurt dan op het diepe niveau van het System-account. Voor een succesvolle aanval is een geauthenticeerde gebruiker 'nodig'.

Microsoft schaalt dit beveiligingsprobleem weliswaar in als 'kritiek', maar meent dat de kans op misbruik niet heel groot is. De softwareleverancier spreekt van 'exploitation less likely' in het informatiebulletin hierover. Het Nederlandse NCSC en DTC zijn niet zo positief gestemd.

Volledig overnemen

"Veel bedrijven gebruiken tegenwoordig e-mail in de cloud zoals bijvoorbeeld Office365 of Gmail, maar ondanks deze trend zijn er ook nog veel bedrijven die een eigen e-mailserver draaien. In veel gevallen wordt hiervoor Microsoft Exchange Server gebruikt." Het DTC waarschuwt dat een aanvaller de volledige controle over een Exchange-server kan overnemen. Microsoft heeft geen beperkende maatregelen of workaround om misbruik van dit securitygat af te dekken of te voorkomen.

Het gaat om Exchange Server 2016 en 2019, in de versies van Cumulative Updates 16 en 17 voor eerstgenoemde en Cumulative Updates 5 en 6 voor laatstgenoemde. Andere versies zijn logischerwijs ook kwetsbaar, maar vallen buiten support van Microsoft. Overigens loopt Exchange 2016 binnenkort tegen het einde van zijn mainstream support aan.