Er wordt actief misbruik gemaakt van de zero-day-kwetsbaarheid van Exchange Server

Er wordt momenteel actief misbruik gemaakt van een zero-day-kwetsbaarheid in Exchange Server 2013, 2016 en 109. Er is momenteel geen beveiligingsupdate voor de volgende kwetsbaarheden: CVE-2022-41040 CVE-2022-41082 Maar er is een remedie om een succesvolle aanval te voorkomen. Om misbruik van de kwetsbaarheid te voorkomen, kan een regel voor de functie URL Rewrite worden gemaakt.

Stap 1

Om dit te doen, selecteert u eerst de autodiscover-directory van de standaardwebsite in IIS Manager:

Stap 2

Een nieuwe regel kan dan worden aangemaakt onder het item “Regels toevoegen…”:

Stap 3

“Verzoek blokkeren” moet worden geselecteerd als sjabloon:

Stap 4

Typ de volgende tekenreeks in het veld Patroon (URL-pad):

Stap 5

Het veld “Using” moet worden gewijzigd van “Wildcard” in “Regular Expressions”:

Stap 6

De nieuw toegevoegde regel wordt nu uitgebreid en bewerkt;

Stap 7

In het veld “Conditie-invoer” is {URI} nu gewijzigd in {REQUEST_URI}:

Stap 8

De regel is nu voltooid en voorkomt de huidige aanval. Zodra er een beveiligingsupdate beschikbaar is, moet deze zo snel mogelijk worden geïnstalleerd.

Stap 9.

Geverifieerde gebruikers met toegang tot PowerShell Remoting kunnen proberen misbruik te maken van de CVE-2022-41082-kwetsbaarheid. Aangezien PowerShell Remoting hopelijk in geen enkele omgeving vanaf internet kan worden bereikt, is de aanvalsvector beperkt tot het lokale netwerk. Om deze aanval moeilijker te maken, kunnen de twee poorten voor PowerShell-remoting worden geblokkeerd op de Windows-firewall: