Frankys Web

Exchange Server: Neue Sicherheitsupdates (Oktober 2020)

Gestern hat Microsoft ein neues Sicherheitsupdate für Exchange Server 2013, 2016 und 2019 veröffentlicht. Das Update schließt die Sicherheitslücke CVE-2020-16969. Die Schwachstelle lässt sich mit einer speziell gestalteten Email ausnutzen, daher sollte das Update zeitnah installiert werden. Die Update ist als “Wichtig” eingestuft.

Microsoft beschreibt die Schwachstelle wie folgt:

An information disclosure vulnerability exists in how Microsoft Exchange validates tokens when handling certain messages. An attacker who successfully exploited the vulnerability could use this to gain further information from a user.

To exploit the vulnerability, an attacker could include specially crafted OWA messages that could be loaded, without warning or filtering, from the attacker-controlled URL. This callback vector provides an information disclosure tactic used in web beacons and other types of tracking systems.

The security update corrects the way that Exchange handles these token validations.

Quelle: https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2020-16969

Das Update lässt sich hier runterladen:

Wie immer sollten Updates vor der Installation getestet werden. Das Update wird bereits mit Windows Update ausgeliefert.