Twee nieuwe kwetsbaarheden in Microsoft Exchange

Donderdagavond 29 september zijn er twee nieuwe kwetsbaarheden in Microsoft Exchange server gepubliceerd door onderzoekers van een Vietnamees securitybedrijf. De twee kwetsbaarheden hebben als CVE-kenmerk CVE-2022-41040 (Server Side Request Forgery) en CVE-2022-41082 (Remote Code Execution). Voor beide kwetsbaarheden moeten kwaadwillende geauthentiseerd zijn.

Microsoft heeft voor de gevonden kwetsbaarheden nog geen updates beschikbaar gesteld. Wel zijn er mitigatiemaatregelen beschikbaar. Zowel Exchange Online als on-premises Exchange servers zijn kwetsbaar. Voor Exchange Online heeft Microsoft reeds de mitigerende maatregelen geïmplementeerd.

Indien je gebruikmaakt van een on-premises Exchange server is het aan te raden de mitigerende maatregelen te implementeren. Zover momenteel bekend bij het CSIRT-DSP is er (nog) geen publieke Proof-of-Concept code beschikbaar.

Op dit moment is nog niet alle informatie over de kwetsbaarheden bekend, we raden je aan de adviezen van Microsoft met betrekking tot deze kwetsbaarheden nauwlettend in de gaten te houden.

Lees hier de communicatie van Microsoft: 
https://msrc-blog.microsoft.com/2022/09/29/customer-guidance-for-reported-zero-day-vulnerabilities-in-microsoft-exchange-server/