Neue Schwachstellen in Microsoft Exchange Server - Update xmail.mwn.de

[Bernhard Schmidt]

Sehr geehrte Damen und Herren,

die folgende Information wurde bereits direkt an alle uns bekannten 
Betreiber von Exchange-Servern im Münchner Wissenschaftsnetz gesendet. 
Sollten Sie diese Information nicht bereits kennen folgen Sie bitte 
dennoch den Handlungsempfehlungen.

Das LRZ wird seine Installation unter xmail.mwn.de heute ab 14:00 Uhr 
aktualisieren. Das Update wird sich bis morgen hinziehen. Während dem 
Update kann es zu zeitweiligen Verbindungsabbrüchen oder 
Performanceeinschränkungen kommen.

---
Sehr geehrte Damen und Herren,

Sie erhalten diese E-Mail, da in dem in Ihrer Verantwortung liegen 
Adressbereich untenstehende Exchange Server betrieben werden.

Am Dienstag, den 13. April 2021, um 19 Uhr MESZ hat Microsoft im Rahmen 
seines Patchdays auch Updates für Exchange Server veröffentlicht [1].
Diese schließen 4 Schwachstellen die Tätern die Möglichkeit bieten, aus 
der Ferne Code auf dem Server auszuführen.
Bei den Schwachstellen handelt es sich um:

-	CVE-2021-28480 Microsoft Server Remote Code Execution Vulnerability [2]
-	CVE-2021-28481 Microsoft Server Remote Code Execution Vulnerability [3]
-	CVE-2021-28482 Microsoft Server Remote Code Execution Vulnerability [4]
-	CVE-2021-28483 Microsoft Server Remote Code Execution Vulnerability [5]

Nach Angaben des Herstellers sind die Schwachstellen kritisch.

Sicherheitsupdates stehen für die folgenden Versionen zur Verfügung:
-	Exchange Server 2013 CU23
-	Exchange Server 2016 CU19 und CU20
-	Exchange Server 2019 CU8 und CU9

Die Schwachstellen sind mit CVSS-Scores von bis zu 9,8 als kritisch zu 
bewerten.

Aktuell sind noch keine Exploits veröffentlicht.
Es wird jedoch dringend empfohlen, dass die bereitgestellten 
Sicherheitsupdates von Microsoft eingespielt werden.
Weitere Details können der Meldung des Bundesamts für Sicherheit in der 
Informationstechnik (BSI) [6] entnommen werden.

Mit freundlichen Grüßen
MWN/LRZ Abuse Response Team

[1] 
https://msrc-blog.microsoft.com/2021/04/13/april-2021-update-tuesday-packages-now-available/
[2] https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-28480
[3] https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-28481
[4] https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-28482
[5] https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-28483
[6] 
https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2021/2021-207541-1032.pdf
---