Exchange Server: Neue Sicherheitsupdates (März 2022)

Microsoft hat neue Sicherheitsupdates für Exchange Server 2013, 2016 und 2019 veröffentlicht.

Die Updates können hier runtergeladen werden:

Die Updates schließen die als Kritisch eingestufte Sicherheitslücke CVE-2022-23277 und die als wichtig eingestufte Schwachstelle CVE-2022-24463.

Da Exchange Server aktuell gerne als Ziel bzw. als Einfallstor für Angriffe genutzt werden, sollte jeder Admin darauf achten, dass Sicherheitsupdates für Exchange Server und auch das Betriebssystem möglichst zeitnah installiert werden.

Außerdem weißt Microsoft explizit darauf hin, dass die manuelle Installation des Updates eine Shell im „Elevated“-Modus („Als Administrator ausführen“) ausgeführt werden muss. Hier einmal ein Beispiel der „Elevated Shell“:

Sicherheitsupdates

Das Update kann natürlich auch via WSUS, Windows Update oder anderen Tools installiert werden. Falls das Update der Exchange Server schief geht, finden sich hier übrigens einige mögliche Lösungen für die Probleme:

Hier findet sich der Artikel auf dem Exchange Team Blos:

Sehr empfehlenswert ist auch das Script „Exchange Health Checker„, welches einen übersichtlichen Report zum Zustand der Exchange Servern liefert. Die Ausgabe des Exchange Health Checkers ist auch im Exchange Reporter integriert.

30 Gedanken zu „Exchange Server: Neue Sicherheitsupdates (März 2022)“

  1. Lief ohne Probleme durch via Windows Update.
    Server 2012R2, Exchange 2016 CU22
    Funktionstests bisher auch keine Auffälligkeiten.

    Antworten
  2. Hallo zusammen,

    wenn ich bei mir nach der Installation auf Exchange 2016 CU21 das HealthCheck-Script ausführe zeigt er mir immer noch folgendes an:

    CVE-2022-23277 See: https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2022-23277 for more information.
    CVE-2022-24463 See: https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2022-24463 for more information.

    Auf einer Exchange 2013 DAG CU23 erscheint weiterhin diese Meldung

    CVE-2022-23277 See: https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2022-23277 for more information.

    Ist das bei euch auch so?

    Antworten
  3. Hallo,

    nachdem ich das Update installiert habe zeigt mir das HealthCheck-Script weiterhin die möglichen Bedrohungen an.
    Ist das bei euch auch so?

    Antworten
  4. Bisher problemlos bei unserer 1. Maschine. Nur die ecp\web.config wird immer noch auf Default zurückgesetzt. :\ Mal sehen, wie sich die Kiste durch die Nacht und das Backup schlägt.

    Antworten
  5. Unser Domain Wildcard Zertifikat läuft am 06.04.2022 aus und wir bekommen EventLogs, dass dieses Zertifikat bald abläuft.
    Diese Meldungen hatten wir schon vor der Installation des aktuellen SU vom Dienstag.
    Bis jetzt läuft aber unser Server nachdem wir am Dienstag das neue SU eingespielt haben (Exchange 2016 CU 22).
    Die anderen Zertifikate, die Exchange selbst beim Setup erstellt, sind noch lange gültig.
    Wir haben nun über evtl. Probleme mit auslaufenden Zertifikaten im Exchange-Blog erfahren:
    https://techcommunity.microsoft.com/t5/exchange-team-blog/released-march-2022-exchange-server-security-updates/ba-p/3247586
    Müssen wir jetzt bald mit einem Crash unseres Servers rechnen, oder haben wir noch ein paar Tage Zeit, uns ein neues Zertifikat zu besorgen?
    Wenn wir dann das neue Zertifikat installieren (Austausch des alten Zertifikats), müssen wir diesmal dann was spezielles berücksichtigen?
    Könnten wir dadurch vielleicht diesen Crash triggern, von dem viele im Exchange Blog berichten? Sollten wir auf einen Fix von MS warten (dieser müsste dann aber vor dem 06. April kommen)?
    Habt ihr irgendwelche Tipps für mich?

    Antworten
  6. Hallo,
    nach Installation des Patches ändert sich nicht die Versionsnummer.

    Es ist immer noch 15.2 ‎(Build 986.5).

    Woran liegt das? Was kann ich machen?

    VG
    Oliver

    Antworten
  7. EAC bei uns komplett kaputt nach dem Security Update. Sieht aus wie wenn nur HTTP angezeigt wird, ohne CSS. Man kann nix anklicken.

    Antworten
    • Haben das Update einmal via Systemsteuerung deinstalliert, reboot, dann via Admin Shell neu eingespielt (wie zuvor auch). Beim zweiten Anlauf wird das EAC nun wieder richtig dargestellt.

      Antworten

Schreibe einen Kommentar