Exchange Server: Neue Sicherheitsupdates (Oktober 2020)

Gestern hat Microsoft ein neues Sicherheitsupdate für Exchange Server 2013, 2016 und 2019 veröffentlicht. Das Update schließt die Sicherheitslücke CVE-2020-16969. Die Schwachstelle lässt sich mit einer speziell gestalteten Email ausnutzen, daher sollte das Update zeitnah installiert werden. Die Update ist als “Wichtig” eingestuft.

Microsoft beschreibt die Schwachstelle wie folgt:

An information disclosure vulnerability exists in how Microsoft Exchange validates tokens when handling certain messages. An attacker who successfully exploited the vulnerability could use this to gain further information from a user.

To exploit the vulnerability, an attacker could include specially crafted OWA messages that could be loaded, without warning or filtering, from the attacker-controlled URL. This callback vector provides an information disclosure tactic used in web beacons and other types of tracking systems.

The security update corrects the way that Exchange handles these token validations.

Quelle: https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2020-16969

Das Update lässt sich hier runterladen:

Wie immer sollten Updates vor der Installation getestet werden. Das Update wird bereits mit Windows Update ausgeliefert.

Exchange Server: Neue Sicherheitsupdates (Oktober 2020)

7 Gedanken zu „Exchange Server: Neue Sicherheitsupdates (Oktober 2020)“

  1. Bzgl. Exchange 2016 CU18.
    Weiß jemand, ob hiermit der CU18-BUG (Anhänge-Vorschau bei weiteren geöffneten Postfächern) auch evtl. mit gefixt ist?

    Antworten
  2. Mich wundern die Fragen ein bisschen. Soweit ich weiß haben Security Updates noch nie Bugs gefixt. Sie machen genau das, was der Name erahnen lässt: Sicherheitslücken schließen. Nicht mehr, nicht weniger.

    Wie dem auch sei. Gestern Abend zusammen mit den neuen Server CUs installiert. Lief alles problemlos. Exchange 2016 CU18 auf Server 2016.

    Antworten
  3. Moin,

    hab das Update heute durchgeführt. Habe jetzt Probleme, das in der OWA keine Symbole mehr angezeigt werden. Intern werden sie dargestellt, extern leider nicht. Als ReverseProxy hab ich die Sophos UTM am laufen. Kennt jemand das Problem?

    Gruß
    Tobias

    Antworten

Schreibe einen Kommentar