Gestern hat Microsoft ein neues Sicherheitsupdate für Exchange Server 2013, 2016 und 2019 veröffentlicht. Das Update schließt die Sicherheitslücke CVE-2020-16969. Die Schwachstelle lässt sich mit einer speziell gestalteten Email ausnutzen, daher sollte das Update zeitnah installiert werden. Die Update ist als “Wichtig” eingestuft.
Microsoft beschreibt die Schwachstelle wie folgt:
An information disclosure vulnerability exists in how Microsoft Exchange validates tokens when handling certain messages. An attacker who successfully exploited the vulnerability could use this to gain further information from a user.
To exploit the vulnerability, an attacker could include specially crafted OWA messages that could be loaded, without warning or filtering, from the attacker-controlled URL. This callback vector provides an information disclosure tactic used in web beacons and other types of tracking systems.
The security update corrects the way that Exchange handles these token validations.
Quelle: https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2020-16969
Das Update lässt sich hier runterladen:
- Microsoft Exchange Server 2013 Cumulative Update 23
- Microsoft Exchange Server 2013 Cumulative Update 17
- Microsoft Exchange Server 2016 Cumulative Update 18
- Microsoft Exchange Server 2019 Cumulative Update 6
- Microsoft Exchange Server 2019 Cumulative Update 7
Wie immer sollten Updates vor der Installation getestet werden. Das Update wird bereits mit Windows Update ausgeliefert.
Ich sehe hier nur CU 17 oder höher, ich habe noch CU 15 ist das nicht betroffen?
Tgl. grüßt das Murmeltier.
November Updates und alle sind dabei…
https://support.microsoft.com/de-de/help/4588741/description-of-the-security-update-for-microsoft-exchange-server
Moin,
hab das Update heute durchgeführt. Habe jetzt Probleme, das in der OWA keine Symbole mehr angezeigt werden. Intern werden sie dargestellt, extern leider nicht. Als ReverseProxy hab ich die Sophos UTM am laufen. Kennt jemand das Problem?
Gruß
Tobias
Hallo Tobi,
ich habe dasselbe Problem mit einer Sophos XG seit Exchange 2016 CU18. Hast du schon oder jemand eine Lösung?
Mich wundern die Fragen ein bisschen. Soweit ich weiß haben Security Updates noch nie Bugs gefixt. Sie machen genau das, was der Name erahnen lässt: Sicherheitslücken schließen. Nicht mehr, nicht weniger.
Wie dem auch sei. Gestern Abend zusammen mit den neuen Server CUs installiert. Lief alles problemlos. Exchange 2016 CU18 auf Server 2016.
Typo oben. Muss 2016 CU 17 heißen statt 2013. Hatte mich schon gewundert
Bzgl. Exchange 2016 CU18.
Weiß jemand, ob hiermit der CU18-BUG (Anhänge-Vorschau bei weiteren geöffneten Postfächern) auch evtl. mit gefixt ist?
Haben gestern via Windows Update aktualisiert, da hat sich leider nichts behoben. Selbes Problem bei uns EX16, CU18.
Eventuell wenn man das Paket manuell runterlädt, aber das weiß ich nicht. Wäre toll, wenn das jemand anders testen und berichten könnte.
Ansonsten ist das Update gut durchgelaufen.
https://docs.microsoft.com/en-us/answers/questions/112628/exchange-2016-after-installation-of-cu-18-attachme.html?page=2&pageSize=10&sort=oldest
EricYin-MSFT answered · 5 days ago Expert AnswerCommunity Expert
Hi everyone,
The engineering team is working on the issue and fix would be release in the coming updates.
Please wait for the next CU released then test if the issue persists.