Zero-Day-Lücken in Microsoft Exchange ermöglichen Datendiebstahl

Es gibt erneut Streit um Microsofts Umgang mit Schwachstellen, dieses Mal in Exchange. Nun ist Microsoft Exchange unter Beschuss - und zwar in zweierlei Hinsicht: Zum einen, weil es vier Zero-Day-Schwachstellen gibt, zum anderen, weil der Konzern nicht sofort reagiert.

Uneinigkeit über die Schwere der Schwachstellen

Das meldet das Online-Magazin Bleeping Computer und erläutert, was nach der Entdeckung der Sicherheitslücke in Exchange durch die Sicherheitsforscher von Trend Micro passiert ist - und das ist interessanter als die Schwachstellen selbst.

Exchange ist demnach von vier Zero-Day-Schwachstellen betroffen, die Angreifer aus der Ferne ausnutzen können, um beliebigen Code auszuführen oder vertrauliche Informationen auf den betroffenen Installationen offenzulegen.


Informationen dazu wurden von der Zero-Day-Initiative (ZDI) am 7. und 8. September 2023 an Microsoft gemeldet und nun bereits öffentlich zur Verfügung gestellt. Regulär wartet man damit, bis es Software-Update gibt.

Fehlende Dringlichkeit?

In diesen Fällen hat Microsoft allerdings die Meldungen bestätigt, ihre Auswirkungen aber als geringfügig eingestuft und die nötigen Korrekturen auf später verschoben. Laut dem Konzern gibt es keine Dringlichkeit für die Behebung. Die Erklärung dazu haben wir am Ende des Beitrags mit angefügt.

Das ZDI war mit dieser Reaktion nicht einverstanden und beschloss, die Schwachstellen unter seinen eigenen Tracking-IDs zu veröffentlichen, um Exchange-Administratoren vor den Sicherheitsrisiken zu warnen. Zudem kritisierte man wieder einmal den Umgang von Microsoft mit Sicherheitsvorfällen.

Eine Zusammenfassung der Schwachstellen:

Alle diese Schwachstellen erfordern eine Authentifizierung, um ausgenutzt werden zu können, was ihren Schweregrad im CVSS-Rating auf 7,1 bis 7,5 senkt. Das Erfordernis zur Authentifizierung ist ein sogenannter Entschärfungsfaktor und vermutlich der Grund dafür, dass Microsoft der Behebung der Fehler keine Priorität eingeräumt hat. Laut ZDI sollten die oben genannten Zero-Days allerdings nicht so einfach als unwichtig eingestuft werden, da insbesondere ZDI-23-1578 zu einer vollständigen Kompromittierung des Systems führen kann.

Ein Microsoft-Sprecher hat auf die Bitte von BleepingComputer um einen Kommentar mit folgender Erklärung geantwortet:

"Wir schätzen die Arbeit dieses Finders, der diese Probleme im Rahmen der koordinierten Offenlegung von Schwachstellen gemeldet hat, und wir sind bestrebt, die notwendigen Schritte zu unternehmen, um unsere Kunden zu schützen.

Wir haben diese Berichte überprüft und festgestellt, dass sie entweder bereits behoben wurden oder gemäß unseren Richtlinien zur Klassifizierung des Schweregrads nicht die Voraussetzungen für eine sofortige Behebung erfüllen. Wir werden prüfen, ob sie in zukünftigen Produktversionen und -updates behoben werden können, sofern dies angemessen ist."

Ferner stellte Microsoft die folgenden zusätzlichen Informationen zu den entdeckten Schwachstellen zur Verfügung:

Informationen zu den Sicherheitslücken

Siehe auch: