-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512
#####################################################
## N C S C ~ B E V E I L I G I N G S A D V I E S ##
#####################################################
######################## UPDATE 1.01 #############################
Titel : Ernstige kwetsbaarheden verholpen in Microsoft
Exchange Server
Advisory ID : NCSC-2021-0200
Versie : 1.01
Kans : high
CVE ID : CVE-2021-26412, CVE-2021-26854, CVE-2021-26855,
CVE-2021-26857, CVE-2021-26858, CVE-2021-27065,
CVE-2021-27078
(Details over de kwetsbaarheden kunt u vinden op
de Mitre website: http://cve.mitre.org/cve/)
Schade : high
(Remote) code execution (Administrator/Root rechten)
Uitgiftedatum : 20210311
Toepassing : Microsoft Exchange
Versie(s) : 2013, 2016, 2019
Platform(s) :
Update
Op basis van actuele ontwikkelingen is aanvullend
handelingsperspectief aan deze advisory toegevoegd. Zie "Mogelijke
oplossingen" voor meer informatie.
Daarnaast is door een onderzoeker Proof-of-Concept (PoC) code
gepubliceerd. Dit PoC combineert de in deze advisory beschreven
kwetsbaarheden en stelt een kwaadwillende in staat om met
systeemrechten willekeurige code uit te voeren op kwetsbare
Exchange-servers. De inschaling van deze advisory blijft ongewijzigd
HIGH/HIGH. Het dringende advies blijft om de door Microsoft
beschikbaar gestelde updates te installeren.
Beschrijving
Er zijn kwetsbaarheden verholpen in Microsoft Exchange Server.
Een combinatie van enkele kwetsbaarheden stellen een kwaadwillende
op afstand in staat willekeurige code uit te voeren onder
SYSTEM-rechten
Microsoft geeft aan dat de kwetsbaarheden met kenmerk
CVE-2021-26855, CVE-2021-26857, CVE-2021-26858 en CVE-2021-27065
actief worden misbruikt door een statelijke actor.
Microsoft geeft aan dat voor de kwetsbaarheden met kenmerk
CVE-2021-26412, CVE-2021-26855, CVE-2021-26857, CVE-2021-26858 en
CVE-2021-27078 Proof-of-Concept code beschikbaar is.
|----------------|------|-------------------------------------|
| CVE-ID | CVSS | Impact |
|----------------|------|-------------------------------------|
| CVE-2021-26412 | 9.10 | Uitvoeren van willekeurige code |
| CVE-2021-26854 | 6.60 | Uitvoeren van willekeurige code |
| CVE-2021-26855 | 9.10 | Uitvoeren van willekeurige code |
| CVE-2021-26857 | 7.80 | Uitvoeren van willekeurige code |
| CVE-2021-26858 | 7.80 | Uitvoeren van willekeurige code |
| CVE-2021-27065 | 7.80 | Uitvoeren van willekeurige code |
| CVE-2021-27078 | 9.10 | Uitvoeren van willekeurige code |
|----------------|------|-------------------------------------|
Meer informatie over de kwetsbaarheden en Indicators-of-Compromise
kunt u vinden op:
https://www.microsoft.com/security/blog/2021/03/02
/hafnium-targeting-exchange-servers/
Mogelijke oplossingen
Microsoft heeft beveiligingsupdates uitgebracht om de kwetsbaarheden
te verhelpen. Meer informatie kunt u vinden op onderstaande pagina:
https://msrc-blog.microsoft.com/2021/03/02
/multiple-security-updates-released-for-exchange-server
Naast bovenstaande updates heeft Microsoft mitigerende maatregelen
beschikbaar gesteld voor organisaties die op dit moment niet de
mogelijkheid hebben om de updates te installeren. Deze maatregelen
zijn expliciet niet bedoeld als volwaardig alternatief voor de
beschikbaar gestelde updates. Voor meer informatie over de
mitigerende maatregelen, zie:
https://msrc-blog.microsoft.com/2021/03/05
/microsoft-exchange-server-vulnerabilities-mitigations-march-2021
Microsoft heeft scripts gepubliceerd die kunnen ondersteunen bij het
vinden van kwetsbare servers en het detecteren van mogelijk
gecompromitteerde systemen. Het nmap-script
'http-vuln-cve2021-26855.nse' controleert of een Exchange-server
kwetsbaar is voor de kwetsbaarheid met kenmerk CVE-2021-26855. Deze
kwetsbaarheid wordt misbruikt voor de initiële compromittatie. De
scripts 'CompareExchangeHashes.ps1' en 'Test-ProxyLogon.ps1' kunnen
daarnaast worden gebruikt om te bepalen of een lokale
Exchange-server is gecompromitteerd. De scripts scannen bestanden en
logfiles, waarbij wordt gezocht naar indicators-of-comrpomise
(IOC's). Meer informatie over deze scripts en IOC's is te vinden in
Microsoft's blogpost en de bijbehorende GitHub-repository:
https://www.microsoft.com/security/blog/2021/03/02
/hafnium-targeting-exchange-servers/#scan-log
https://github.com/microsoft/CSS-Exchange/tree/main/Security
Vrijwaringsverklaring
Door gebruik van deze security advisory gaat u akkoord met de
navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
kan het NCSC niet instaan voor de volledigheid, juistheid of
(voortdurende) actualiteit van dit beveiligingsadvies. De informatie
in dit beveiligingsadvies is uitsluitend bedoeld als algemene
informatie voor professionele partijen. Aan de informatie in dit
beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
van het gebruik of de onmogelijkheid van het gebruik van dit
beveiligingsadvies, waaronder begrepen schade ten gevolge van de
onjuistheid of onvolledigheid van de informatie in dit
beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
van toepassing. Alle geschillen in verband met en/of voortvloeiend
uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
voorzieningenrechter in kort geding.
-----BEGIN PGP SIGNATURE-----
Version: Encryption Desktop 10.4.2 (Build 1298)
Charset: utf-8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=0QAV
-----END PGP SIGNATURE-----
