Microsoft is bezig met een onderzoek of exploitcode voor een kritieke kwetsbaarheid in Exchange via een partner in handen van criminelen terecht is gekomen, zo meldt de Wall Street Journal op basis van bronnen. Via het Microsoft Active Protections Program (MAPP) deelt het techbedrijf informatie over beveiligingslekken en dreigingen met zo'n tachtig deelnemende antivirus- en securitybedrijven.

Voordat Microsoft beveiligingsupdates uitrolt krijgen MAPP-partners informatie over de betreffende verholpen kwetsbaarheden, waaronder ook exploitcode. Partners kunnen deze informatie binnen hun eigen beveiligingsproducten verwerken en zo hun klanten beschermen. Het gaat dan bijvoorbeeld om antivirussoftware die misbruik van de kwetsbaarheden detecteert.

Vier kwetsbaarheden in Microsoft Exchange Server 2013, 2016 en 2019 worden voor zover bekend sinds januari misbruikt door aanvallers. De bekende beveiligingsonderzoeker 'Orange Tsai' van securitybedrijf DEVCORE, die eerder de zeer kritieke en veel misbruikte kwetsbaarheid in Pulse Secure SSL VPN ontdekte, waarschuwde Microsoft begin januari en noemde het de gevaarlijkste remote code execution-kwetsbaarheid die hij ooit had ontdekt.

Op 23 februari deelde Microsoft informatie over de Exchange-kwetsbaarheden met MAPP-partners, waaronder een exploit die het van Tsai had ontvangen. Vijf dagen later werd er opeens een tweede aanvalsgolf op Exchange Servers waargenomen, waarbij de exploit van Tsai werd gebruikt. Aanleiding voor Microsoft om op 2 maart noodpatches voor Exchange uit te brengen, wat het eigenlijk op 9 maart had willen doen tijdens de geplande patchdinsdag van maart.

Securitybedrijf DEVCORE stelt dat het de exploit niet heeft gelekt. Ook Microsoft laat in een verklaring weten dat het niet verantwoordelijk is voor het lekken van de exploit. Er wordt nu onderzocht of dit mogelijk bij één of meerdere MAPP-partners is gebeurd. Microsoft heeft in het verleden een Chinees beveiligingsbedrijf uit het MAPP-programma gezet omdat het zeer gevoelige informatie over een ernstige kwetsbaarheid in Windows lekte.

Volgens securitybedrijf DomainTools wordt de kwetsbaarheid mogelijk al sinds november misbruikt. Dit zou erop duiden dat naast onderzoeker Tsai ook een andere partij het beveiligingslek heeft ontdekt.