image

Exchange Server 2013 ook kwetsbaar voor actief aangevallen beveiligingslek

woensdag 17 november 2021, 12:19 door Redactie, 10 reacties
Laatst bijgewerkt: 19-11-2021, 17:07

Exchange Server 2013 is ook kwetsbaar voor een actief aangevallen beveiligingslek waardoor aanvallers de mailserver kunnen overnemen. Microsoft bracht op 9 november beveiligingsupdates uit voor Exchange Server 2016 en 2019 en heeft de patch nu ook voor Exchange Server 2013 beschikbaar gesteld.

Op het moment dat Microsoft de update uitrolde werd er al misbruik van het beveiligingslek gemaakt. Verdere details werden niet gegeven, behalve dat meerdere onderzoekers het probleem aan Microsoft hadden gerapporteerd en het techbedrijf de kwetsbaarheid zelf ook had gevonden.

De kwetsbaarheid, aangeduid als CVE-2021-42321, maakt het mogelijk voor een geauthenticeerde aanvaller om willekeurige code op de server uit te voeren. De aanvaller moet in dit geval over inloggegevens van een legitieme gebruiker beschikken om de server aan te vallen. De inloggegevens zouden bijvoorbeeld via phishing kunnen worden gestolen. De impact van het beveiligingslek is op een schaal van 1 tot en met 10 met een 8,8 beoordeeld.

Update

Microsoft heeft de vermelding van Exchange Server 2013 uit het overzicht van kwetsbare Exchange-versies verwijderd omdat deze versie toch niet kwetsbaar blijkt te zijn.

Reacties (10)
17-11-2021, 12:26 door Bitje-scheef
Je verwacht het niet hé...nee...
17-11-2021, 13:25 door Anoniem
Volgens mij klopt dit artikel niet? De update voor Exchange 2013 is ook gewoon op 9 november uitgekomen.
17-11-2021, 13:31 door Anoniem
Door Bitje-scheef: Je verwacht het niet hé...nee...
Ach, de patch is met een goede week ook voor 2013 beschikbaar. Doen ze het beter dan Apple die 7 maanden nodig heeft om een lek te patchen in de vorige versie van hun OS. Nog meer loze kreten die je kwijt wilt?
17-11-2021, 19:03 door Anoniem
Deze update was al op 9 november beschikbaar voor Ex2013. Alleen toen was deze niet kwetsbaar, maar naar nu blijkt wel. Niet verrassend verder. Maar het artikel en de opmerking van Anoniem 13:31 klopt niet. Patch is er al even, maar heeft nu meer haast gekregen.
17-11-2021, 21:19 door Anoniem
Microsoft heeft CVE-2021-42321 bijgewerkt, volgens revisie 1.2 is Exchange 2013 is niet kwetsbaar.
18-11-2021, 08:44 door Anoniem
2013?
Is dar versie 2013 of bouwjaar 2013?
Klinkt antiek.
18-11-2021, 10:20 door Anoniem
Door Anoniem: 2013?
Is dar versie 2013 of bouwjaar 2013?
Klinkt antiek.

Welkom bij IT zou ik zeggen, waar budgetten vaak de beslissende factor zijn, en men niet de noodzaak ziet om door te stromen naar nieuwere oplossingen. :P
18-11-2021, 10:34 door Coritchando
Door Anoniem: Microsoft heeft CVE-2021-42321 bijgewerkt, volgens revisie 1.2 is Exchange 2013 is niet kwetsbaar.
De wondere wereld van Microsoft. Blijkbaar was het een foutje.

Nu is dat niet zo erg, het is goed om altijd de laatste updates geïnstalleerd te hebben staan.
18-11-2021, 10:37 door Coritchando - Bijgewerkt: 18-11-2021, 10:40
Door Anoniem: 2013?
Is dar versie 2013 of bouwjaar 2013?
Klinkt antiek.

Exchange 2013 is de versie, deze is uitgekomen in 2013 (officieel december 2012, maar die maand...) en wordt ondersteunt tot april 2023. Daar is dus niets antiek aan, het is een actuele versie die in support zit. De laatste update voor 2013 is van november 2021, net als voor 2016 en 2019.

De reden om 2013 nu nog te draaien is simpel: kosten. Als je geen features nodig hebt van 2016 of 2019 is er geen enkele reden om te upgraden. Aangezien de meeste bedrijven een licentie hebben gekocht, inclusief userlicenties, voor een versie welke afgeschreven wordt over de support termijn (max. 10 jaar dus in dit geval) kost elke dag eerder overstappen geld. Idealiter draai je dus Exchange 2013 tot de dag voor de support afloopt, meeste waar voor je geld.

Aangezien Exchange een andere weg in gaat slaan binnenkort zullen er maar weinig beheerders zijn die nu nog 2013 naar 2016 of 2019 gaan upgraden. Men is in afwachting van wat er gaat volgen.
19-11-2021, 16:18 door Anoniem
17 nov. 2021
Removed Exchange Server 2013 from the Security Updates table as it is not affected by this vulnerability.
Reageren
Ondersteunde bbcodes
Bold: [b]bold text[/b]
Italic: [i]italic text[/i]
Underline: [u]underlined text[/u]
Quote: [quote]quoted text[/quote]
URL: [url]https://www.security.nl[/url]
Config: [config]config text[/config]
Code: [code]code text[/code]

Je bent niet en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.