CERT-Bund-Warnung: 30% der deutschen Exchange Server mit offenem OWA angreifbar

16 Antworten zu CERT-Bund-Warnung: 30% der deutschen Exchange Server mit offenem OWA angreifbar

1. Singlethreaded sagt:

   1. Dezember 2021 um 06:34 Uhr

   Wieviele interne Exchange Server ohne installierte Patches da wohl noch dazukämen, die erst "fallen" würden, wenn sich jemand Zugriff auf einen Client im internen Netz beschafft?
   Hilft nur Betreiber ermitteln und per DSGVO Bußgelder verhängen, sonst wird das nix. Das ist doch jetzt gefühlt die 10. Warnung. Die Wirkung dürfte gegen Null gehen.

   Außerdem ist Exchange auch nur ein Produkt. VMware hat auch gerade November Patches für ESX/ESXi und vCenter Server herausgegeben. Auch da gibt es genug Experten, welche das per Internet erreichbar machen. Ich glaube nicht, dass es dort besser aussieht mit dem Durchschnitt der gepatchten Systeme.

   Gruß Singlethreaded

   Antworten
   • cram sagt:

     1. Dezember 2021 um 07:37 Uhr

     Ich stimme dir in jedem Punkt zu.

     Aus meiner Erfahrung her, gibt es viele Firmen, die überhaupt nicht wissen, dass sie so etwas betreiben. Einmal, von irgendjemanden installiert, laufen die Produkte. Wenn nichts passiert, passiert auch nichts.

     Die IT bildet die Basis von nahezu jedem Unternehmen, kommt aber bei jeder Planung ans Ende oder wird erst gar nicht aufgeführt.

     Die IT-Abteilungen (wenn überhaupt vorhanden) sind massiv unterbesetzt und können auch nur täglich die Feuerwehr spielen. Newsletter von Dienstleistern werden nicht gelesen oder ignoriert (wegen Unwissenheit oder Kosten).

     Antworten
2. mw sagt:

   1. Dezember 2021 um 09:38 Uhr

   Welchen Nutzen soll denn eine Software bringen, do so ranzig ist, dass immer Leute hinterherrennen müssen und irgendwelche Patches einspielen. Mal ganz abgesehen vpn den Löchern, welche noch gar nicht geflickt werden können.

   Aber die ganze Welt fliegt auf Exchange, so wie die Fliegen auf Scheiße.

   Wenn Ihr ein Auto fahren würdet, das in der Qualität so ist wie Exchange, dann würdet Ihr dem Händler die Karre doch wieder auf den Hof stellen, oder?

   Antworten
   • Singlethreaded sagt:

     2. Dezember 2021 um 07:08 Uhr

     Wir haben echt eine Menge Software in der Firma im Einsatz und da ist auch einiges dabei, welches nicht auf Microsoft basiert. Daher mal ganz allgemein gefragt:

     Welches Produkt muss denn nicht dauernd gepatched und gewartet werden?

     Mir fällt nix ein was wir im letzten Jahr nicht aktualisiert hätten. Das geht runter bis zu den WLAN APs, Switchen oder der Firmware auf DECT-Telefonen oder Druckern.
     Statt den Status quo abzusichern, alten Code zu optimieren und die dunklen Ecken in der Software auszukehren werden lieber neue Features implementiert. Zur Not halt Emojis oder runde Ecken, wenn einem sonst nix mehr einfällt. Da ist vieles in der Softwareentwicklung einfach verkorkst.

     Antworten
     • Blubmann sagt:

       2. Dezember 2021 um 08:24 Uhr

       Höre ich da einen Hauch von Unzufriedenheit über Windows 11? :-D

       Antworten
       • Singlethreaded sagt:

         2. Dezember 2021 um 18:05 Uhr

         Ich kann ehrlich gesagt keine fundierte eigene Meinung dazu äußern, da ich bisher noch nie mit Windows 11 gearbeitet habe. Natürlich hat man viele Berichte und Tests gelesen und echte Begeisterung kommt bei mir ehrlich gesagt nicht auf. Bisher ist mein Eindruck so negativ, dass ich noch mindestens zwei Jahre auf Windows 10 bleibe.
         Auch in der Firma ist derzeit keine Umstellung geplant, es ist aber auch noch nicht alle Software für Windows 11 vom Hersteller freigegeben. Ein Support ist ehr keine Option. Akueller, subjektiver Eindruck: Kann nur besser werden. ;-)

         Antworten
         • Blubmann sagt:

           3. Dezember 2021 um 13:43 Uhr

           Habe Win11 bereits auf einem Laptop….teilweise identische Probleme wie mit Windows 10. Aber dazu glücklicherweise noch Software die nicht mehr funktioniert, z.B. Vmware Workstation Pro 16. Also ja kann nur besser werden :-D…..so in einem Jahr oder so.

           Antworten
   • Dat Bundesferkel sagt:

     2. Dezember 2021 um 14:09 Uhr

     "Wenn Ihr ein Auto fahren würdet, das in der Qualität so ist wie Exchange, dann würdet Ihr dem Händler die Karre doch wieder auf den Hof stellen, oder?"
     Wie viele aktuelle Diesel von VW (samt Tochterfirmen) und Mercedes Benz siehst Du gegenwärtig herumfahren?
     Wie viele davon sind Euro 6? Obgleich die Software nach "Aufdeckung" so umgeschrieben werden mußte, daß viele Diesel nun alle naselang entweder einen verstopften Partikelfilter oder Ölvermengung haben, feiert man diese Schrotthaufen dennoch als meisterhafte Ingenieurskunst.

     Und tatsächlich ist es gar nicht so einfach diesen Müll wieder los zu werden. Doitsche Gerichte entschieden, daß ein Taschengeld ausreichend für die zu erwartenden horrenden Mehrkosten wäre, Sonder-Rückgabe nicht ohne weiteres möglich.

     tl;dr
     Die Leute wissen zumeist, daß sie Fliegendreck haben. Können / dürfen aber nichts dagegen unternehmen.

     Antworten
3. René sagt:

   1. Dezember 2021 um 09:44 Uhr

   Das Problem ist das viele Unternehmen (wahrscheinlich zu 80 % der 12 000) nicht wissen, dass sie handeln müssen. Oft wird ein nicht ITler mit "IT Kenntnissen" dafür abgestellt, um kosten zu sparen. Oder es sind kleine externe IT Dienstleister zuständig, die sich nicht kümmern.

   Antworten
   • Wil Ballerstedt sagt:

     1. Dezember 2021 um 10:18 Uhr

     So habe ich es auch erlebt. Bei meinem letzten Arbeitgeber gibt es schätzungsweise 250 PC-Arbeitsplätze. 100(?) für Angestellte und den Rest für Weiterbildung. IT-Personal? Einen echten Admin-Profi, einen frischen Gesellen und einen zweiten irgendwie Profi, der aber mehr Krank ist und Rehas bzw. Urlaub macht als "anwesend" ist.

     Letzte Woche wurde ich von meinen Ex-Kollegen nach Passwort für meinen Arbeitsplatz gesagt. Ich sage denen, dass das Arbeitskonto an meinem PC inzwischen gesperrt wurde. Gut, sie bitten die IT, den Rechner wieder freizugeben. "Wird etwa eine Woche dauern." Ich weiß von denen, dass sie wirklich immer voll zu tun haben …

     Antworten
4. Blackii sagt:

   1. Dezember 2021 um 10:34 Uhr

   Gerade früh E-Mail bekommen von einem gehackten Server :')

   Auf alte E-Mail geantwortet, Keine Anrede, im schlechtes Google-Übersetzer-Deutsch einen Satz und dann zwei Links zum Anklicken :D
   __________
   Möglicherweise möchten Sie die halbjährlichen Gesamtleistungszahlen nach unten finden.

   *) LINK 1

   **) LINK 2
   __________
   MfG,
   Blackii

   Antworten
   • Günter Born sagt:

     2. Dezember 2021 um 14:19 Uhr

     Danke – mir ist auch so etwas von einem Leser übermittelt worden (die Mail natürlich nicht). Hab es aufgegriffen – am 3.12. dürfen wir ja wieder ein Türchen in Borns Security Advenzkalender öffnen ;-).

     Antworten
5. D sagt:

   2. Dezember 2021 um 11:09 Uhr

   Ein Indikator für einen korrekt angewendeten Patch sollten doch die Dateiinformationen der Exchange-Programmdateien sein?

   Zur Prüfung habe ich hier unter "Exchange Server file information" die Liste kopiert, in Excel eingefügt und als CSV gespeichert (unnötig kompliziert, aber ja nicht allzu aufwendig): Description of the security update for microsoft exchange server 2019-2016-2013 November 9, 2021 kb5007409

   Anschließend prüft folgendes PowerShell-Skript, ob jeweils das "Änderungsdatum" (meiner Meinung nach ausreichend) der Exchange-Programmdateien dem Änderungsdatum (noch hardcodiert) des Patchs entspricht:

   Param(
       [string] $ExchangePath,
       [string] $FilePath,
       [char] $Delimiter
   )
   
   $ErrCounter = 0
   
   $CSVObj = Import-CSV $FilePath -Delimiter $Delimiter
   $CSVObj | ForEach-Object {
       $FoundItem = (Get-ChildItem -Path $ExchangePath -Include $_."File name" -File -Recurse | Select-Object -First 1)
       if ($null -eq $FoundItem) {
           Write-Output "$($_.`"File name`") not found."
           $ErrCounter++
       } else {
           $Result = ($FoundItem.LastWriteTime -gt "11.03.2021") -and ($FoundItem.LastWriteTime -lt "11.04.2021") # TODO Parametrize
           Write-Output "Result for $($FoundItem.Name): $Result (LastWriteTime: $($FoundItem.LastWriteTime))"
           if ($Result -eq $false) {
               $ErrCounter++
           }
       }
   }
   
   Write-Output "Abgeschlossen mit $ErrCounter Fehlern."

   Ist zwar nicht optimiert und super langsam, aber erspart immerhin die manuelle Prüfung der Dateien.

   Für Nicht-PowerSheller:
   Das Skript z. B. unter Dateiname "Check-ExchangeSecurityUpdateBuildNos.ps1" abspeichern, im Speicherort die PowerShell öffnen und das Skript wie folgt aufrufen:

   .\Check-ExchangeSecurityUpdateBuildNos.ps1 *PfadZuEurerExchangeInstallation* *PfadZurCSVDatei* *TrennzeichenDerCSV*

   Und zur Ergebnisinterpretation:
   Bei meinem Test scheinen bisher ausschließlich Dateien nicht gefunden worden zu sein. Da ich nicht sicher ausschließen kann, dass diese Dateien Bestandteil eines korrekt funktionierenden Patchs sind, nehme ich jetzt (vorerst sicherheitshalber) an, dass die Exchange-Installation nicht korrekt gepatcht ist.

   @Günter: Du erlaubst hier grundsätzlich keine (HTML- usw.) Tags als Eingabe, oder?

   Antworten
   • Günter Born sagt:

     2. Dezember 2021 um 12:05 Uhr

     Danke für das Script. Ich habe den Code mal mit einem pre-Tag eingefasst, so dass keine Umformatierung erfolgt.

     Zum HTML-Code – Du kannst versuchen, Tags zur Grob-Formatierung wie pre, b, i etc. zu versuchen. Ich bin aber nicht sicher, was da sicherheitstechnisch herausgefischt wird. Als Admin kann ich da mehr als normale Nutzer machen – hat sicherheitstechnische Gründe. Notfalls so ein Script per Mail (ggf. auch als Anhang) einreichen – dann kann ich es mit einstellen. Aber der obige Kommentar sieht samt Listing doch schon gut aus.

     Antworten
     • D sagt:

       2. Dezember 2021 um 13:25 Uhr

       Ah cool, danke!
       Ja, hatte mich nur erst gewundert, dass die in für Tags übliche spitze Klammern eingeschlossene Parameterplatzhalter im Skriptaufrufbefehl nicht dargestellt wurden. Aber die Sternchen tun es ja auch.

       Nachtrag noch zu dem Skript, falls es jemand nutzen möchte:
       Es läuft bei mir jetzt schon ein paar Stunden. Mit einer solchen Ausführungszeit muss wegen der Größe des Exchange-Ordners (die ca. 1000 Dateien aus der Dateiliste werden jeweils im gesamten Exchange-Installationspfad gesucht) also gerechnet werden.
       Im von mir oben verlinkten KB-Artikel habe ich außerdem noch gelesen: "Additionally, the dates and times may change when you perform certain operations on the files."
       Das betrifft wenn wohl nur einen kleinen Teil der Dateien (dlls usw. wohl kaum), aber hierdurch können bei der obigen Skriptversion natürlich "False positives" auftreten, also Dateien, deren Ergebnis "False" ist, die aber eigentlich gepatcht wurden. "False" bedeutet aber meiner Einschätzung nach in allen anderen Fällen (wahrscheinlich) nicht gepatcht und "True" (wahrscheinlich) gepatcht.

       Und generell noch ein Hinweis für Verwender fremder Skripte:
       Bitte natürlich nicht jedes Skript aus dem Web ungeprüft übernehmen und ausführen. Gerade in PowerShell wird gerne mit Verschleierung in Form von Base64-codierten Befehlen gearbeitet. Bei den Exchange-Attacken vom März haben die Angreifer z. B. auf diese Weise versucht das Nachladen von Code auf inifizierten Systemen zu verschleiern. Skripte mit alphanumerischem Zeichensalat sind daher mit besonderer Vorsicht zu genießen.

       Antworten
6. DasOlli sagt:

   2. Dezember 2021 um 16:35 Uhr

   Das mit den nicht vollständigen Exchange Sicherheitsupdates hab ich auch schon gesehen, immer dann wenn die Updates mit "doppelklick" oder mit "ausführen als Administrator" gestartet wurden…

   Aus Servern die per WSUS versorgt werden oder wenn das Update über eine Administrative Shell gestartet wird, hab ich das bisher nicht erlebt…

   Antworten