Marina Riedel
Stellen Sie sich vor, Ihr Postamt hat ein Formular für Sonderanfragen, das eigentlich nur für bestimmte Routineaufgaben gedacht ist. Nun entdeckt jemand, dass man durch geschicktes Ausfüllen dieses Formulars dem Postamt beliebige Befehle erteilen kann – von der Herausgabe sämtlicher Briefe bis hin zur vollständigen Kontrolle über den Betrieb, und das alles ohne sich ausweisen zu müssen. Eine ähnlich alarmierende Situation existiert aktuell bei einer der am weitesten verbreiteten E-Mail-Server-Lösungen weltweit.
Eine kritische Sicherheitslücke wurde in Microsoft Exchange Server entdeckt und als CVE-2025-21400 katalogisiert. Diese Schwachstelle ermöglicht es Angreifern, aus der Ferne und ohne Authentifizierung beliebigen Code auf betroffenen Exchange-Servern auszuführen – ein sogenannter „Remote Code Execution“-Angriff (RCE).
Das Problem: Ein Fehler in der Art und Weise, wie Exchange Server bestimmte Web-Anfragen verarbeitet, führt dazu, dass speziell präparierte Anfragen die Sicherheitsmechanismen umgehen und direkt Code auf dem Server ausführen können. Dies ist vergleichbar mit einer Hintertür, die unbeabsichtigt in ein ansonsten gut gesichertes Gebäude eingebaut wurde.
Im Klartext bedeutet das: Ein Angreifer kann, ohne sich anmelden zu müssen und ohne dass es bemerkt wird, vollständige Kontrolle über den Exchange-Server erlangen. Von dort aus kann er auf alle E-Mails zugreifen, sie lesen, verändern oder löschen, neue E-Mails versenden oder den Server als Sprungbrett für weitere Angriffe im Netzwerk nutzen.
Microsoft Exchange Server ist eine der meistgenutzten E-Mail- und Kommunikationslösungen für Unternehmen und Organisationen weltweit:
Die weite Verbreitung und die zentrale Rolle, die Exchange Server in der Unternehmenskommunikation spielt, machen diese Schwachstelle besonders kritisch. Ein kompromittierter E-Mail-Server bietet Zugang zu einigen der sensibelsten Informationen einer Organisation.
Nach den verfügbaren Informationen sind folgende Versionen von Exchange Server von dieser Sicherheitslücke betroffen:
Exchange Online (die Cloud-Version als Teil von Microsoft 365) ist nicht direkt betroffen, da Microsoft die zugrunde liegende Infrastruktur kontrolliert und bereits Schutzmaßnahmen implementiert hat.
Microsoft hat in seinem jüngsten Sicherheitsupdate einen Patch für diese Schwachstelle veröffentlicht. Um Ihre Exchange-Server zu schützen, sollten Sie:
Microsoft hat in seinem Security Advisory detaillierte Anweisungen für temporäre Eindämmungsmaßnahmen veröffentlicht, die implementiert werden können, wenn ein sofortiges Update nicht möglich ist.
Diese Sicherheitslücke ist besonders kritisch für kleine und mittlere Unternehmen (KMU), da diese:
Für viele KMU könnte ein erfolgreicher Angriff über diese Schwachstelle existenzbedrohend sein, insbesondere wenn er zu Ransomware-Infektionen oder erheblichen Datenverlusten führt.
CVE-2025-21400 ist eine Schwachstelle in der HTTP-Verarbeitungslogik des Exchange Front-End Transport Service. Der Fehler tritt in der Komponente auf, die für die Verarbeitung von REST API-Anfragen zuständig ist.
Die Schwachstelle basiert auf einer unzureichenden Validierung von HTTP-Anfrageparametern, die es einem Angreifer ermöglicht, den normalen Ausführungspfad zu manipulieren und eine Protokollverletzung zu verursachen. Diese Protokollverletzung kann anschließend ausgenutzt werden, um beliebigen Code im Kontext des Exchange-Serverprozesses (typischerweise mit SYSTEM-Rechten) auszuführen.
Besonders problematisch ist, dass:
Obwohl die Schwachstelle erst kürzlich entdeckt wurde, haben Sicherheitsexperten bereits Anzeichen für aktive Ausnutzungsversuche in freier Wildbahn beobachtet. Typische Angriffsmuster umfassen:
Besonders besorgniserregend ist die Beobachtung, dass mehrere Advanced Persistent Threat (APT) Gruppen bereits begonnen haben, diese Schwachstelle in ihren Kampagnen zu nutzen.
Die Auswirkungen dieser Sicherheitslücke sind außerordentlich schwerwiegend:
Besonders beunruhigend ist, dass die Ausnutzung dieser Schwachstelle oft ohne offensichtliche Anzeichen erfolgt, wodurch Angreifer über Wochen oder Monate unentdeckt bleiben können.
Als IT-Administrator sollten Sie zusätzlich folgende Maßnahmen in Betracht ziehen:
Die Abwägung zwischen Verfügbarkeit des Dienstes und Sicherheit ist in diesem Fall eindeutig: Die Sicherheit muss Vorrang haben, da die Folgen einer Kompromittierung weitaus schwerwiegender sind als eine kurze geplante Dienstunterbrechung für ein Update.
Die Sicherheitslücke CVE-2025-21400 in Microsoft Exchange Server stellt eine der gravierendsten E-Mail-Server-Schwachstellen der letzten Jahre dar. Die Kombination aus einfacher Ausnutzbarkeit, fehlender Authentifizierungsanforderung und der zentralen Rolle, die Exchange in Unternehmensumgebungen spielt, macht diese Schwachstelle zu einer außerordentlichen Bedrohung.
Für Organisationen, die Exchange Server einsetzen, ist die Botschaft eindeutig: Handeln Sie sofort, um Ihre Server zu aktualisieren und zu schützen. Die Kosten und der Aufwand für ein umgehendes Update sind verschwindend gering im Vergleich zu den potenziellen Schäden eines erfolgreichen Angriffs.
Referenzen
Diesen Artikel teilen:
