{"data":{"case":{"actions":{"de":["Installiere die aktuellen Sicherheitsupdates für deinen Exchange Server; ein Server ohne die Updates vom März 2021 ist für diese Angriffe offen.","Prüfe den Server auch nach dem Update auf Webshells und andere Spuren eines Angriffs: Die Angriffe begannen im Januar 2021, zwei Monate vor dem Fix.","Wenn du den Server nicht binnen Tagen patchen kannst, zieh einen gehosteten Maildienst in Betracht; Microsofts Exchange Online war nicht betroffen."],"en":["Install the current security updates for your Exchange Server; a server without the March 2021 updates is open to these attacks.","Check the server for web shells and other signs of attack, even after updating: the attacks began in January 2021, two months before the fix.","If you cannot keep the server patched within days, consider a hosted mail service; Microsoft's Exchange Online was not affected."]},"criteria":{"damage":{"de":"Eine Gesamtsumme des Schadens oder der gestohlenen Postfächer ist nicht dokumentiert.","en":"No total of the damage or of the stolen mailboxes is documented.","met":false},"exploitation":{"de":"Angreifer legten Webshells auf mehr als 5.000 Mailservern in über 115 Ländern ab, und das ist nur, was ein einziges Sicherheitsunternehmen sah (ESET, 10. März 2021).","en":"Attackers planted web shells on more than 5,000 email servers in over 115 countries, and that is only what one security company saw (ESET, March 10, 2021).","met":true},"reach":{"de":"Fast 400.000 Exchange-Server waren am Tag vor dem Fix online: gefährdete Systeme, nicht gehackte (RiskIQ-Daten über Microsoft, 12. März 2021).","en":"Nearly 400,000 Exchange servers were online the day before the fix: systems at risk, not hacked ones (RiskIQ data via Microsoft, March 12, 2021).","met":true},"response":{"de":"Die US-Behörde CISA erließ einen Tag nach dem Fix die Notfallanweisung 21-02 für Bundesbehörden (CISA, 3. März 2021).","en":"The US agency CISA issued Emergency Directive 21-02 to federal agencies one day after the fix (CISA, March 3, 2021).","met":true}},"cves":["CVE-2021-26855","CVE-2021-26857","CVE-2021-26858","CVE-2021-27065"],"cvss":9.8,"cvss_version":"3.1","cwe":"CWE-918, CWE-502, CWE-22","dates":[{"date":"2020-12-10","key":"discovered"},{"date":"2021-01-03","key":"exploited"},{"date":"2021-01-05","key":"reported"},{"date":"2021-03-02","key":"patched"},{"date":"2021-03-03","de":"Die CISA erlässt die Notfallanweisung 21-02 für US-Bundesbehörden","en":"CISA issues Emergency Directive 21-02 to US federal agencies"}],"de":{"credit":"DEVCORE; Volexity und Dubex meldeten Teile der Angriffskette, die sie bei Angriffen beobachtet hatten","fixed":"Sicherheitsupdates vom 2. März 2021 für Exchange Server 2013, 2016 und 2019","product":"Microsoft Exchange Server 2013, 2016 und 2019, auf eigenen Servern einer Organisation betrieben","summary":"Vier Lücken in Microsoft Exchange ließen Angreifer ohne Passwort Postfächer lesen und Mailserver übernehmen, zwei Monate bevor es einen Fix gab."},"disclosed":"2021-03-02","en":{"credit":"DEVCORE; Volexity and Dubex reported parts of the attack chain seen in attacks","fixed":"Security updates of March 2, 2021 for Exchange Server 2013, 2016 and 2019","product":"Microsoft Exchange Server 2013, 2016 and 2019, run on an organization's own servers","summary":"Four flaws in Microsoft Exchange let attackers read mailboxes and take over mail servers without a password, two months before a fix existed."},"figures":[{"de":"Exchange-Server waren am Tag vor dem Fix gefährdet (knapp so viele; gehackt wurden nicht alle)","en":"Exchange servers at risk the day before the fix (nearly that many; not all were hacked)","value":"400,000"},{"de":"Tage lang liefen Angriffe, bevor es einen Fix gab","en":"days of attacks before a fix existed","value":"58"},{"de":"Server mit Webshells in über 115 Ländern (mehr als; ESET, 10. März 2021)","en":"servers with web shells in over 115 countries (more than; ESET, March 10, 2021)","value":"5,000"}],"kev":"2021-11-03","key":"proxylogon","name":"ProxyLogon","product":"Microsoft Exchange Server","sources":[{"de":"DEVCORE: ProxyLogon, mit vollständiger Zeitleiste","title":"DEVCORE: ProxyLogon, with the full timeline","url":"https://proxylogon.com/"},{"de":"Microsoft: HAFNIUM greift Exchange-Server an (2. März 2021)","title":"Microsoft: HAFNIUM targeting Exchange servers (March 2, 2021)","url":"https://www.microsoft.com/en-us/security/blog/2021/03/02/hafnium-targeting-exchange-servers/"},{"de":"Microsoft Security Response Center: Sicherheitsupdates für Exchange Server","title":"Microsoft Security Response Center: security updates for Exchange Server","url":"https://www.microsoft.com/en-us/msrc/blog/2021/03/multiple-security-updates-released-for-exchange-server"},{"de":"Microsoft: Schutz für selbst betriebene Exchange-Server (12. März 2021)","title":"Microsoft: protecting on-premises Exchange servers (March 12, 2021)","url":"https://www.microsoft.com/en-us/security/blog/2021/03/12/protecting-on-premises-exchange-servers-against-recent-attacks/"},{"de":"Microsoft: Angriffe über die Exchange-Lücken (25. März 2021)","title":"Microsoft: attacks taking advantage of the Exchange flaws (March 25, 2021)","url":"https://www.microsoft.com/en-us/security/blog/2021/03/25/analyzing-attacks-taking-advantage-of-the-exchange-server-vulnerabilities/"},{"de":"Volexity: aktive Ausnutzung der Exchange-Zero-Days","title":"Volexity: active exploitation of the Exchange zero-days","url":"https://www.volexity.com/blog/2021/03/02/active-exploitation-of-microsoft-exchange-zero-day-vulnerabilities/"},{"de":"ESET: Exchange-Server unter Beschuss von mehr als zehn Angreifergruppen","title":"ESET: Exchange servers under siege from more than ten attacker groups","url":"https://www.welivesecurity.com/2021/03/10/exchange-servers-under-siege-10-apt-groups/"},{"de":"CISA-Notfallanweisung 21-02 (abgeschlossen)","title":"CISA Emergency Directive 21-02 (closed)","url":"https://www.cisa.gov/news-events/directives/ed-21-02-mitigate-microsoft-exchange-premises-product-vulnerabilities-closed"},{"de":"DIVD: Scan und Warnungen an Betreiber verwundbarer Exchange-Server","title":"DIVD: scan and warnings to owners of vulnerable Exchange servers","url":"https://csirt.divd.nl/cases/DIVD-2021-00001/"},{"de":"NVD: CVE-2021-26855, mit der Bewertung von Microsoft","title":"NVD: CVE-2021-26855, with Microsoft's score","url":"https://nvd.nist.gov/vuln/detail/CVE-2021-26855"}],"vector":"CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H","year":2021}},"description":"Vier Lücken in Microsoft Exchange ließen Angreifer ohne Passwort Postfächer lesen und Server übernehmen. Wie das ging, wen es traf, was jetzt zu tun ist.","language":"de","latest_measurement":"2026-10-23","method":"latency-v3","method_page":"https://crackthe.net/de/methode/","source":"https://crackthe.net/","text":"Am 2. März 2021 veröffentlichte Microsoft Notfall-Updates für Exchange Server, die Mailserver-Software, die viele Organisationen auf eigenen Rechnern betreiben. Die Updates schlossen vier Sicherheitslücken, die Angreifer da schon seit zwei Monaten ausnutzten: Ohne Passwort konnten sie Postfächer lesen und die Kontrolle über den Server übernehmen. Sobald die Lücken öffentlich waren, schlossen sich viele weitere Gruppen den Angriffen an.\nSo funktionierte der Angriff Exchange hat ein Frontend, das Anfragen aus dem Internet entgegennimmt und an die Dienste dahinter weiterleitet. Die Hauptlücke, CVE-2021-26855, ist eine Server-Side Request Forgery, also eine Anfragefälschung auf dem Server. Ein Angreifer, der nicht angemeldet ist, sendet eine präparierte Anfrage, und das Frontend leitet sie weiter, als hätte der Exchange-Server selbst gefragt. Das allein reichte schon, um Postfächer zu lesen.\nMit diesem Zugang nutzte der Angreifer eine zweite Lücke, CVE-2021-27065 oder CVE-2021-26858, um eine Datei seiner Wahl auf den Server zu schreiben. Diese Datei war eine Webshell, eine kleine Webseite, die jeden Befehl ausführt, den der Angreifer ihr schickt. Eine dritte Lücke, CVE-2021-26857, ließ Angreifer Code als SYSTEM ausführen, also mit den höchsten Rechten unter Windows.\nAngreifersendet eine präparierte Anfrage, ganz ohne Passwort Exchange-Frontendleitet sie weiter, als hätte der Server selbst gefragt Postfächersind sofort lesbar Webshellwird auf den Server geschrieben Serverführt die Befehle des Angreifers aus Die Angriffskette: Die erste Lücke öffnet die Tür, die zweite legt eine Webshell ab, die dem Angreifer die Kontrolle über den Server gibt. Das taiwanische Sicherheitsunternehmen DEVCORE entdeckte die erste Lücke am 10. Dezember 2020. Am 5. Januar 2021 meldete es Microsoft eine Kette aus zwei Lücken, die es ProxyLogon nannte. Doch die Angriffe hatten schon zwei Tage früher begonnen, am 3. Januar, wie das Sicherheitsunternehmen Volexity herausfand. Volexity und das Unternehmen Dubex meldeten Teile der Angriffskette, die sie bei Angriffen beobachtet hatten. Microsoft schrieb die erste Angriffswelle einer Gruppe zu, die es HAFNIUM nennt und als staatlich unterstützt und von China aus operierend einstuft. Diese Angreifer nutzten alle vier Lücken.\nReichweite und Schaden Am 1. März 2021, einen Tag vor dem Fix, zählte das Sicherheitsunternehmen RiskIQ fast 400.000 Exchange-Server, die aus dem Internet erreichbar waren; das berichtete Microsoft. Das ist die Zahl der gefährdeten Server, nicht die der gehackten. Am 9. März waren noch etwas mehr als 100.000 verwundbar. Am 12. März fehlte das Update noch auf etwa 82.000.\nExchange-Server ohne den Fix, März 2021 März, der Tag vor dem Fix 400.000 März 100.000 März 82.000 RiskIQ-Zahlen, veröffentlicht von Microsoft und so gerundet, wie Microsoft sie angibt: fast 400.000, etwas mehr als 100.000, etwa 82.000.\nKeine Quelle nennt die Gesamtzahl der Server, in die Angreifer eingedrungen sind. Das Sicherheitsunternehmen ESET fand bis zum 10. März 2021 Webshells auf mehr als 5.000 Mailservern in über 115 Ländern. Diese Zahlen stammen aus ESETs eigenen Produkten und zeigen deshalb nur einen Teil des Bildes. ESET zählte mehr als zehn verschiedene Angreifergruppen, die meisten davon sogenannte APT-Gruppen, also Teams, die ihre Ziele über lange Zeit ausspionieren.\nNach der Veröffentlichung zogen auch Kriminelle nach. Bis zum 25. März fand Microsoft auf rund 1.500 Systemen Webshells der Bande hinter der Ransomware DoejoCrypt, einer Schadsoftware, die Dateien verschlüsselt und Lösegeld fordert. Nicht auf allen Systemen kam es so weit, dass Dateien verschlüsselt wurden. Eine dokumentierte Gesamtzahl für den Schaden oder die gestohlenen Postfächer gibt es nicht.\nFix und Reaktion Microsoft wollte den Fix eigentlich an seinem regulären monatlichen Patchday ausliefern, dem 9. März. Stattdessen veröffentlichte es die Updates eine Woche früher, außerhalb des üblichen Rhythmus. Sie gelten für Exchange Server 2013, 2016 und 2019. Exchange Server 2010 erhielt zur zusätzlichen Vorsicht ebenfalls ein Update. Microsofts Cloud-Dienst Exchange Online war nicht betroffen.\nDie ersten drei Wochen nach dem Fix 1 2 3 4 5 12. März 2021Microsoft veröffentlicht die Updates, eine Woche früher als geplant 23. März 2021Die US-Behörde CISA erlässt die Notfallanweisung 21-02 für Bundesbehörden\u0026#43;1 Tag 37. März 2021Die niederländische Freiwilligengruppe DIVD hat mehr als 42.000 Warnungen an Betreiber verwundbarer Server verschickt\u0026#43;5 Tage 410. März 2021ESET zählt mehr als 5.000 Server mit Webshells\u0026#43;8 Tage 525. März 2021Mehr als 92 % der Exchange-Server, die Microsoft kennt, sind gepatcht oder geschützt\u0026#43;23 Tage Eine Notfallanweisung (Emergency Directive) ist eine Anordnung der CISA, die US-Bundesbehörden befolgen müssen; die erste Frist dieser Anweisung lief zwei Tage nach ihrer Veröffentlichung ab. In den Niederlanden durchsuchten die Freiwilligen von DIVD das Internet nach verwundbaren Servern und warnten deren Betreiber per E-Mail. Am 3. November 2021 nahm die CISA alle vier Lücken in die erste Ausgabe ihrer Liste ausgenutzter Schwachstellen auf.\nZwei Bewertungen für dieselbe Lücke Die US-amerikanische National Vulnerability Database bewertet die Hauptlücke mit 9,8 von 10. Microsoft vergibt 9,1. Der Unterschied liegt in einem Detail: Microsoft geht davon aus, dass diese Lücke allein den Server nicht lahmlegen kann, und rechnet deshalb keine Folgen für die Verfügbarkeit ein.\nSchweregrad-Bewertungen für CVE-2021-26855 Microsoft (CVSS 3.1)9,1 NVD (CVSS 3.1)9,8 Beide nutzen Version 3.1 der CVSS-Skala; sie unterscheiden sich nur bei den Folgen für die Verfügbarkeit.\nDas Update vom 2. März 2021 behob laut Microsoft sieben Exchange-Lücken. Vier davon wurden bei den Angriffen genutzt, und diese vier meinen die meisten Berichte heute mit ProxyLogon, obwohl DEVCORE mit dem Namen streng genommen nur seine Kette aus zwei Lücken bezeichnete.","title":"ProxyLogon: Die Exchange-Lücken, die Mailserver öffneten","url":"https://crackthe.net/de/schwachstellen/proxylogon/"}