Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnte Ende Januar 2019 vor einer schwerwiegenden Sicherheitslücke in Microsoft Exchange Server 2013, 2016 und 2019. Die Schwachstelle, klassifiziert mit Risikostufe 5 und damit als sehr hoch, erlaubt es authentisierten Angreifern, sich Rechte als Domänenadministrator zu verschaffen. Ein Patch stand zum Zeitpunkt der Warnung noch aus.
Der Sicherheitsforscher Dirk-Jan Mollema veröffentlichte einen Proof of Concept, der mehrere Eigenschaften der Exchange-Standardkonfiguration kombiniert. In dieser Standardkonfiguration besitzen Exchange-Server weitreichende Systemrechte im Active Directory. Mollema nutzte eine NTLM-Relay-Schwachstelle zusammen mit einer ungeschlossenen Lücke der Zero Day Initiative vom Dezember 2018, um über einen kompromittierten Exchange-Server Domänenadministratorrechte zu erlangen. Die Angriffskette funktionierte zuverlässig gegen Exchange 2013, 2016 und 2019 – Exchange 2010 SP3 blieb dagegen immun.
NTLM-Relay und zu weitreichende Standardrechte
Das BSI beschrieb die Schwachstelle als Privilegieneskalation per Remoteangriff, möglich durch einen authentisierten Nutzer. Die zugrundeliegende Ursache liegt darin, dass Exchange-Server in Standardinstallationen über Berechtigungen verfügen, die für den normalen Betrieb nicht zwingend nötig sind, einem Angreifer nach Kontoübernahme aber den Weg zum Domänenadministrator ebnen. The Register hatte bereits vor der offiziellen BSI-Meldung auf den Proof of Concept hingewiesen.
Als Gegenmaßnahmen bis zum Erscheinen eines Patches empfahl Mollema, die Exchange-Berechtigungen im Active Directory auf das notwendige Minimum zu reduzieren und die Signierung von LDAP- und SMB-Kommunikation zu aktivieren, um Relay-Angriffe zu erschweren. Eine Stellungnahme von Microsoft, die The Register eingeholt hatte, ließ darauf schließen, dass ein Patch zum nächsten regulären Patchday erscheinen könnte. Für Unternehmens-IT-Teams, die mit der Exchange-Infrastruktur auch Spieleentwicklungs- und Dev-Umgebungen betreiben, zeigt der Fall, wie kritisch Standardkonfigurationen in Serverprodukten sein können – ein Muster, das sich auch bei der Git-Sicherheitslücke vom Mai 2018 gezeigt hatte.