SIKKERHET

Til tross for angrep: Microsoft kom ikke med nye sikkerhetsfikser til Exchange Server

Kunder med Exchange Server må selv forsvare den mot angrep en stund til.

Microsoft Exchange-kunder kan fortsatt ikke installere noen sikkerhetsoppdatering for å unngå angrep som utnytter ProxyNotShell-sårbarhetene.
Microsoft Exchange-kunder kan fortsatt ikke installere noen sikkerhetsoppdatering for å unngå angrep som utnytter ProxyNotShell-sårbarhetene. Illustrasjon: Colourbox/Buchachon. Montasje: Digi.no
Harald BrombachHarald BrombachJournalist
13. okt. 2022 - 09:15

Microsoft kom tirsdag kveld rutinemessig med sikkerhetsoppdatering til en rekke av selskapets produkter. I alt skal mer enn 80 sårbarheter ha blitt fjernet.

Men de kom ikke med noen sikkerhetsoppdatering til Exchange Server, Microsoft-produktet som kanskje er mest utsatt for cyberangrep for tiden. Det er dermed uklart når disse kommer.

Ifølge Zero Day Initiative (ZDI) er det to sårbarheter i Exchange som nå aktivt utnyttes i angrep. ZDI kjøpte tilgang til informasjon om de to sårbarhetene allerede i begynnelsen av september og varslet Microsoft kort tid etter. 

ProxyNotShell

De to sårbarhetene har til sammen fått navnet ProxyNotShell av sikkerhetsforskeren Kevin Beaumont. ProxyNotShell har mye til felles med en kjede av sårbarheter som ble utnyttet i angrep mot Exchange Server i 2021. Denne ble kalt for ProxyShell.

Microsoft har publisert informasjon om ProxyNotShell på denne siden, men den har ikke blitt oppdatert siden 8. oktober. På den aktuelle siden er det beskrevet hvordan Exchange Server kan konfigureres for at ProxyNotShell-sårbarhetene ikke skal kunne utnyttes i Exchange Server 2016 og Exchange Server 2019.

Microsoft anbefaler for øvrig sterkt at fjerntilgangen til PowerShell deaktiveres for alle ikke-administrator-brukere i hele virksomheten til kundene.

Kunder med Exchange Online-tjenesten behøver ikke gjøre noe.

Flere lyskryss i USA har blitt manipulert til å prate som Mark Zuckerberg, Jeff Bezos og Elon Musk. Her er de avbildet med Bezos' partner Lauren Sánchez og Google-sjef Sundar Pichai under presidentinnsettelsen av Donald Trump tidligere i år.
Les også

Hackere får lyskryss til å snakke som Musk og Bezos

Del
Kommentarer:
Du kan kommentere under fullt navn eller med kallenavn. Bruk BankID for automatisk oppretting av brukerkonto.