{"data":{"case":{"actions":{"de":["Installiere die aktuellen Sicherheitsupdates für deinen Exchange Server; ein Server ohne die Updates vom März 2021 ist für diese Angriffe offen.","Prüfe den Server auch nach dem Update auf Webshells und andere Spuren eines Angriffs: Die Angriffe begannen im Januar 2021, zwei Monate vor dem Fix.","Wenn du den Server nicht binnen Tagen patchen kannst, zieh einen gehosteten Maildienst in Betracht; Microsofts Exchange Online war nicht betroffen."],"en":["Install the current security updates for your Exchange Server; a server without the March 2021 updates is open to these attacks.","Check the server for web shells and other signs of attack, even after updating: the attacks began in January 2021, two months before the fix.","If you cannot keep the server patched within days, consider a hosted mail service; Microsoft's Exchange Online was not affected."]},"criteria":{"damage":{"de":"Eine Gesamtsumme des Schadens oder der gestohlenen Postfächer ist nicht dokumentiert.","en":"No total of the damage or of the stolen mailboxes is documented.","met":false},"exploitation":{"de":"Angreifer legten Webshells auf mehr als 5.000 Mailservern in über 115 Ländern ab. Das ist nur das, was ein einziges Sicherheitsunternehmen sah (ESET, 10. März 2021).","en":"Attackers planted web shells on more than 5,000 email servers in over 115 countries, and that is only what one security company saw (ESET, March 10, 2021).","met":true},"reach":{"de":"Fast 400.000 Exchange-Server waren am Tag vor dem Fix online: gefährdete Systeme, nicht gehackte (RiskIQ-Daten über Microsoft, 12. März 2021).","en":"Nearly 400,000 Exchange servers were online the day before the fix: systems at risk, not hacked ones (RiskIQ data via Microsoft, March 12, 2021).","met":true},"response":{"de":"Die US-Behörde CISA erließ einen Tag nach dem Fix die Notfallanweisung 21-02 für Bundesbehörden (CISA, 3. März 2021).","en":"The US agency CISA issued Emergency Directive 21-02 to federal agencies one day after the fix (CISA, March 3, 2021).","met":true}},"cves":["CVE-2021-26855","CVE-2021-26857","CVE-2021-26858","CVE-2021-27065"],"cvss":9.8,"cvss_version":"3.1","cwe":"CWE-918, CWE-502, CWE-22","dates":[{"date":"2020-12-10","key":"discovered"},{"date":"2021-01-03","key":"exploited"},{"date":"2021-01-05","key":"reported"},{"date":"2021-03-02","key":"patched"},{"date":"2021-03-03","de":"Die CISA erlässt die Notfallanweisung 21-02 für US-Bundesbehörden","en":"CISA issues Emergency Directive 21-02 to US federal agencies"}],"de":{"credit":"DEVCORE; Volexity und Dubex meldeten Teile der Angriffskette, die sie bei Angriffen beobachtet hatten","fixed":"Sicherheitsupdates vom 2. März 2021 für Exchange Server 2013, 2016 und 2019","product":"Microsoft Exchange Server 2013, 2016 und 2019, auf eigenen Servern einer Organisation betrieben","summary":"Vier Lücken in Microsoft Exchange ließen Angreifer ohne Passwort Postfächer lesen und Mailserver übernehmen, zwei Monate bevor es einen Fix gab."},"disclosed":"2021-03-02","en":{"credit":"DEVCORE; Volexity and Dubex reported parts of the attack chain seen in attacks","fixed":"Security updates of March 2, 2021 for Exchange Server 2013, 2016 and 2019","product":"Microsoft Exchange Server 2013, 2016 and 2019, run on an organization's own servers","summary":"Four flaws in Microsoft Exchange let attackers read mailboxes and take over mail servers without a password, two months before a fix existed."},"figures":[{"de":"Exchange-Server waren am Tag vor dem Fix gefährdet (knapp so viele; gehackt wurden nicht alle)","en":"Exchange servers at risk the day before the fix (nearly that many; not all were hacked)","value":"400,000"},{"de":"Tage lang liefen Angriffe, bevor es einen Fix gab","en":"days of attacks before a fix existed","value":"58"},{"de":"Server mit Webshells in über 115 Ländern (mehr als; ESET, 10. März 2021)","en":"servers with web shells in over 115 countries (more than; ESET, March 10, 2021)","value":"5,000"}],"kev":"2021-11-03","key":"proxylogon","name":"ProxyLogon","product":"Microsoft Exchange Server","sources":[{"de":"DEVCORE: ProxyLogon, mit vollständiger Zeitleiste","title":"DEVCORE: ProxyLogon, with the full timeline","url":"https://proxylogon.com/"},{"de":"Microsoft: HAFNIUM greift Exchange-Server an (2. März 2021)","title":"Microsoft: HAFNIUM targeting Exchange servers (March 2, 2021)","url":"https://www.microsoft.com/en-us/security/blog/2021/03/02/hafnium-targeting-exchange-servers/"},{"de":"Microsoft Security Response Center: Sicherheitsupdates für Exchange Server","title":"Microsoft Security Response Center: security updates for Exchange Server","url":"https://www.microsoft.com/en-us/msrc/blog/2021/03/multiple-security-updates-released-for-exchange-server"},{"de":"Microsoft: Schutz für selbst betriebene Exchange-Server (12. März 2021)","title":"Microsoft: protecting on-premises Exchange servers (March 12, 2021)","url":"https://www.microsoft.com/en-us/security/blog/2021/03/12/protecting-on-premises-exchange-servers-against-recent-attacks/"},{"de":"Microsoft: Angriffe über die Exchange-Lücken (25. März 2021)","title":"Microsoft: attacks taking advantage of the Exchange flaws (March 25, 2021)","url":"https://www.microsoft.com/en-us/security/blog/2021/03/25/analyzing-attacks-taking-advantage-of-the-exchange-server-vulnerabilities/"},{"de":"Volexity: aktive Ausnutzung der Exchange-Zero-Days","title":"Volexity: active exploitation of the Exchange zero-days","url":"https://www.volexity.com/blog/2021/03/02/active-exploitation-of-microsoft-exchange-zero-day-vulnerabilities/"},{"de":"ESET: Exchange-Server unter Beschuss von mehr als zehn Angreifergruppen","title":"ESET: Exchange servers under siege from more than ten attacker groups","url":"https://www.welivesecurity.com/2021/03/10/exchange-servers-under-siege-10-apt-groups/"},{"de":"CISA-Notfallanweisung 21-02 (abgeschlossen)","title":"CISA Emergency Directive 21-02 (closed)","url":"https://www.cisa.gov/news-events/directives/ed-21-02-mitigate-microsoft-exchange-premises-product-vulnerabilities-closed"},{"de":"DIVD: Scan und Warnungen an Betreiber verwundbarer Exchange-Server","title":"DIVD: scan and warnings to owners of vulnerable Exchange servers","url":"https://csirt.divd.nl/cases/DIVD-2021-00001/"},{"de":"NVD: CVE-2021-26855, mit der Bewertung von Microsoft","title":"NVD: CVE-2021-26855, with Microsoft's score","url":"https://nvd.nist.gov/vuln/detail/CVE-2021-26855"}],"vector":"CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H","year":2021}},"description":"Vier Lücken in Microsoft Exchange ließen Angreifer ohne Passwort Postfächer lesen und Server übernehmen. Wie das ging, wen es traf, was jetzt zu tun ist.","language":"de","latest_measurement":"2026-11-01","method":"latency-v3","method_page":"https://crackthe.net/de/daten/methode/","source":"https://crackthe.net/","text":"Am 2. März 2021 veröffentlichte Microsoft Notfall-Updates für Exchange Server. Viele Organisationen betreiben diese Mailserver-Software auf eigenen Rechnern. Die Updates schlossen vier Sicherheitslücken, die Angreifer da schon seit zwei Monaten ausnutzten. Ohne Passwort konnten sie Postfächer lesen und den Server übernehmen. Sobald die Lücken öffentlich waren, schlossen sich viele weitere Gruppen den Angriffen an.\nSo funktionierte der Angriff Exchange hat ein Frontend, das Anfragen aus dem Internet entgegennimmt und an die Dienste dahinter weiterleitet. Die Hauptlücke, CVE-2021-26855, ist eine Server-Side Request Forgery, also eine Anfragefälschung auf dem Server. Ein nicht angemeldeter Angreifer sendet eine präparierte Anfrage. Das Frontend leitet sie weiter, als hätte der Exchange-Server selbst gefragt. Das allein reichte, um Postfächer zu lesen.\nMit diesem Zugang nutzte der Angreifer eine zweite Lücke, CVE-2021-27065 oder CVE-2021-26858, um eine Datei seiner Wahl auf den Server zu schreiben. Diese Datei war eine Webshell, eine kleine Webseite, die jeden Befehl des Angreifers ausführt. Eine dritte Lücke, CVE-2021-26857, ließ Angreifer Code als SYSTEM ausführen, also mit den höchsten Rechten unter Windows.\nAngreifersendet eine präparierte Anfrage, ganz ohne Passwort Exchange-Frontendleitet sie weiter, als hätte der Server selbst gefragt Postfächersind sofort lesbar Webshellwird auf den Server geschrieben Serverführt die Befehle des Angreifers aus Die Angriffskette: Die erste Lücke öffnet die Tür, die zweite legt eine Webshell ab, die dem Angreifer die Kontrolle über den Server gibt. Das taiwanische Sicherheitsunternehmen DEVCORE entdeckte die erste Lücke am 10. Dezember 2020. Am 5. Januar 2021 meldete es Microsoft eine Kette aus zwei Lücken, die es ProxyLogon nannte. Doch die Angriffe hatten schon zwei Tage früher begonnen, am 3. Januar, wie das Sicherheitsunternehmen Volexity herausfand. Volexity und das Unternehmen Dubex meldeten Teile der Kette, die sie bei Angriffen beobachtet hatten. Microsoft schrieb die erste Angriffswelle einer Gruppe zu, die es HAFNIUM nennt. Nach Microsofts Einschätzung wird sie staatlich unterstützt und operiert von China aus. Diese Angreifer nutzten alle vier Lücken.\nReichweite und Schaden Am 1. März 2021, einen Tag vor dem Fix, zählte das Sicherheitsunternehmen RiskIQ laut Microsoft fast 400.000 aus dem Internet erreichbare Exchange-Server. Das ist die Zahl der gefährdeten Server, nicht die der gehackten. Am 9. März waren noch etwas mehr als 100.000 verwundbar. Am 12. März fehlte das Update noch auf etwa 82.000.\nExchange-Server ohne den Fix, März 2021 1. März, der Tag vor dem Fix400.000 9. März100.000 12. März82.000 RiskIQ-Zahlen, veröffentlicht von Microsoft und so gerundet, wie Microsoft sie angibt: fast 400.000, etwas mehr als 100.000, etwa 82.000.\nKeine Quelle nennt die Gesamtzahl der Server, in die Angreifer eingedrungen sind. Das Sicherheitsunternehmen ESET fand bis zum 10. März 2021 Webshells auf mehr als 5.000 Mailservern in über 115 Ländern. Diese Zahlen stammen aus ESETs eigenen Produkten und zeigen deshalb nur einen Teil des Bildes. ESET zählte mehr als zehn verschiedene Angreifergruppen, die meisten davon sogenannte APT-Gruppen, also Teams, die ihre Ziele über lange Zeit ausspionieren.\nNach der Veröffentlichung zogen auch Kriminelle nach. Bis zum 25. März fand Microsoft auf rund 1.500 Systemen Webshells der Bande hinter der Ransomware DoejoCrypt. Diese Schadsoftware verschlüsselt Dateien und fordert Lösegeld. Nicht auf allen Systemen kam es so weit, dass Dateien verschlüsselt wurden. Eine dokumentierte Gesamtzahl für den Schaden oder die gestohlenen Postfächer gibt es nicht.\nFix und Reaktion Ursprünglich wollte Microsoft den Fix am regulären monatlichen Patchday, dem 9. März, ausliefern. Stattdessen veröffentlichte das Unternehmen die Updates eine Woche früher. Sie gelten für Exchange Server 2013, 2016 und 2019. Vorsorglich erhielt auch Exchange Server 2010 ein Update. Microsofts Cloud-Dienst Exchange Online war nicht betroffen.\nDie ersten drei Wochen nach dem Fix 1 2 3 4 5 12. März 2021Microsoft veröffentlicht die Updates, eine Woche früher als geplant 23. März 2021Die US-Behörde CISA erlässt die Notfallanweisung 21-02 für Bundesbehörden\u0026#43;1 Tag 37. März 2021Die niederländische Freiwilligengruppe DIVD hat mehr als 42.000 Warnungen an Betreiber verwundbarer Server verschickt\u0026#43;5 Tage 410. März 2021ESET zählt mehr als 5.000 Server mit Webshells\u0026#43;8 Tage 525. März 2021Mehr als 92 % der Exchange-Server, die Microsoft kennt, sind gepatcht oder geschützt\u0026#43;23 Tage Eine Notfallanweisung (Emergency Directive) ist eine Anordnung der CISA, die US-Bundesbehörden befolgen müssen. Die erste Frist dieser Anweisung lief zwei Tage nach ihrer Veröffentlichung ab. In den Niederlanden durchsuchten die Freiwilligen von DIVD das Internet nach verwundbaren Servern und warnten deren Betreiber per E-Mail. Am 3. November 2021 nahm die CISA alle vier Lücken in die erste Ausgabe ihrer Liste ausgenutzter Schwachstellen auf.\nZwei Bewertungen für dieselbe Lücke Die US-amerikanische National Vulnerability Database bewertet die Hauptlücke mit 9,8 von 10, Microsoft mit 9,1. Microsoft geht davon aus, dass diese Lücke allein den Server nicht lahmlegen kann. Deshalb rechnet das Unternehmen keine Folgen für die Verfügbarkeit ein.\nSchweregrad-Bewertungen für CVE-2021-26855 Microsoft (CVSS 3.1)9,1 NVD (CVSS 3.1)9,8 Beide nutzen Version 3.1 der CVSS-Skala; sie unterscheiden sich nur bei den Folgen für die Verfügbarkeit.\nDas Update vom 2. März 2021 behob laut Microsoft sieben Exchange-Lücken. Vier davon wurden bei den Angriffen genutzt. Diese vier meinen die meisten Berichte heute mit ProxyLogon. Streng genommen bezeichnete DEVCORE mit dem Namen aber nur seine Kette aus zwei Lücken.","title":"ProxyLogon: Die Exchange-Lücken, die Mailserver öffneten","url":"https://crackthe.net/de/sicherheit/schwachstellen/proxylogon/"}