Zero Day Schwachstelle in MS Exchange Server gefunden
Table of Contents
Die am 13.2.2024 veröffentlichte Zero-Day-Schwachstelle CVE-2024-21410 mit CVSS 9.8/10, die den Microsoft Exchange Server betrifft, stellt ein kritisches Sicherheitsrisiko dar. Betreiber der Server sollten unbedingt die Version aktualisieren.
CVE-2024-21410 ist eine kritische Sicherheitslücke im Exchange Server, die Angreifern ermöglicht, die Privilegien auf anfälligen Systemen zu eskalieren. Das bedeutet, dass Angreifer unbefugten Zugang erlangen und die Kontrolle über sensible Daten und Systeme übernehmen können. Diese Schwachstelle wurde in freier Wildbahn ausgenutzt, bevor ein Patch verfügbar war, was sie zu einem Zero-Day-Angriff macht.
Welche Auswirkungen hat CVE-2024-21410?
Eine erfolgreiche Ausnutzung könnte zu folgenden Problemen führen:
- Diebstahl und Offenlegung von Daten
- Installation von Malware oder Ransomware
- Störung des Betriebs
- Finanzielle Verluste
Wer ist betroffen?
Anfällige Versionen des Exchange Servers (2013, 2016, 2019) sind gefährdet. Organisationen, die diese Versionen verwenden, sind gefährdet.
Welche Gegenmaßnahmen gibt es?
- Wenden Sie den Patch sofort an: Microsoft hat am 14. Februar 2024 Patches für alle anfälligen Versionen veröffentlicht. Wenden Sie diese so schnell wie möglich an.
- Aktivieren Sie den Extended Protection (EP): Diese Funktion hilft, NTLM-Relay-Angriffe zu mildern und ist in den neuesten Updates automatisch aktiviert.
- Implementieren Sie zusätzliche Sicherheitsmaßnahmen: Erwägen Sie die Einführung von Multi-Faktor-Authentifizierung, Netzwerksegmentierung und Intrusion-Detection-Systemen, um Ihr Umfeld weiter zu schützen.
Update: Hackergruppe WaterHydra nutzt Schwachstelle bereits aus
Nach neusten Erkenntnissen der Sicherheitsforscher von TrendMicro wird die Schwachstelle bereits von der Hackergruppe WaterHydra ausgenutzt, um gezielt im Finanzsektor den DarkMe Remote Access Trojaner zu installieren. Zur Infektion ist es jedoch notwendig, dass betroffene die eingeschläuste Datei ausführen bzw. öffnen.
Update vom 20.2.24: fast 100.000 Verwundbare Server im Netz
Laut der Aussage des Monitoring Dienstes ShadowServer sind fast 100.000 verwundbare Server immer noch am Netz. Gegeben der Gefahr durch Hackergruppen wie WaterHydra ist es wahrscheinlich nur eine Frage der Zeit bis die verwundbaren Server durch Trojaner wie DarkMe infiziert werden.
Update vom 28.2.24: Phishing Kampagnen nutzen Schwachstelle
Mittlerweile ist bekannt geworden, dass unter anderem der Threat Actor TA577 die Schwachstelle für Phishing Kampagnen ausnutzt, z.B. über gestohlene NTLM Hashes oder gecrackte Passwörter. Erhöhte Vorsicht bei vermeindlich validen Email Absendern ist also geboten.