Kwetsbaarheden in Microsoft Exchange Server

27 feb 2020

Microsoft heeft de afgelopen patchronde updates beschikbaar gesteld voor Exchange Server 2010, 2013, 2016 en 2019 om enkele kwetsbaarheden te dichten. Een van de kwetsbaarheden betreft CVE-2020-0688 welke het NCSC heeft aangeduid als 'High/High'. Dit wil zeggen dat er een grote kans is dat deze kwetsbaarheden worden misbruikt en dat de potentiële schade groot kan zijn.  

Wat is een Exchange Server?

Exchange is een product van Microsoft dat wordt ingezet als mailserver om e-mails te ontvangen en verzenden met vaak een eigen domein (@bedrijf.nl) als afzender. Daarnaast geeft een Exchange Server de mogelijkheid om e-mail, contacten en agenda’s te synchroniseren met verschillende apparaten.
Veel bedrijven gebruiken tegenwoordig e-mail in de cloud zoals bijvoorbeeld Office365 of Gmail, maar ondanks deze trend zijn er ook nog veel bedrijven die een  eigen e-mail server draaien. In veel gevallen wordt hiervoor Microsoft Exchange Server gebruikt.

Wat is het risico?

Door het misbruiken van een lek in de “Exchange Control Panel (ECP)” kan een aanvaller op afstand (mogelijk) willekeurige code uitvoeren en hiermee de volledige kwetsbare Exchange-server overnemen. Dat wil zeggen dat de aanvaller volledige controle heeft en bijvoorbeeld allerlei programma’s kan installeren, e-mails kan bekijken, bewerken, verwijderen maar ook nieuwe accounts kan aanmaken. Tevens zou een dergelijke aanval kunnen leiden tot een ernstige ransomware aanval.

Wat kan ik doen?

Wanneer je gebruik maakt van een Exchange Server of het niet zeker weet dan is het aan te raden om contact op te nemen met je IT dienstverlener. Hierbij is het belangrijk om na te gaan of de beschikbare update al is geïnstalleerd, mocht dat niet het geval zijn raden wij aan deze zo spoedig mogelijk te (laten) installeren. 
Op de website van Microsoft is alle noodzakelijke informatie hierover te vinden.

Aanvullend advies

Microsoft Exchange Server 2010 zal eind dit jaar (20 oktober) de status End-Of-Life krijgen, wat inhoudt dat er onder andere geen beveiligingsupdates meer beschikbaar komen voor deze versie. Overweeg om over te stappen naar de nieuwste versie van Exchange Server (2019) of een ander e-mail platform. Wacht hier overigens niet te lang mee, een upgrade of migratie van een Exchange Server kan afhankelijk van de omvang een langdurig traject zijn. Begin hier dus tijdig mee of stem dit verder af met je IT dienstverlener.