Foto: monticello - shutterstock.com
Microsoft muss erneut Sicherheitslücken in seiner E-Mail-Software Exchange Server mit einem Update schließen. Der Software-Konzern veröffentlichte Aktualisierungen für Versionen aus den Jahren 2013, 2016 und 2019. Sie waren auch von Schwachstellen betroffen, die Microsoft bereits im März mit einem Update geschlossen hatte. Der Hinweis auf zwei der vier neuen Probleme - den als CVE 2021 28480 und CVE-2021-28481 bezeichneten Schachstellen - kam vom US-Geheimdienst NSA.
Man kenne noch keine Schadprogramme, die die Lücken ausnutzten, erklärte Microsoft. Dennoch empfahl der Konzern, die Updates sofort zu installieren. Das Weiße Haus wies alle US-Regierungsbehörden an, ihre E-Mail-Server umgehend zu aktualisieren. Vize-Sicherheitsberaterin Anne Neuberger betonte, die US-Regierung habe Microsoft die Schwachstelle aufgrund ihrer Verantwortung gemeldet.
Geheimdienste suchen gezielt nach Sicherheitslücken, um sie zu nutzen. Im US-Regierungsapparat gibt es ein Verfahren, in dem abgewogen wird, ob eine Schwachstelle für die Allgemeinheit zu gefährlich werden könnte, wenn ein Geheimdienst sie für sich behält. Die Praxis, dass Behörden Informationen zu Sicherheitslücken für sich behalten, um sie für ihre Zwecke zu nutzen, ist spätestens seit 2017 unter Sicherheitsexperten heftig umstritten. Damals wurde eine von der NSA entdeckte Sicherheitslücke von Hackern ausgenutzt wurden, um im großen Stil Computer mit der Erpressungs-Software WannaCry zu infizieren.
Folgen der im März entdeckten Exchange-Schwachstellen
Über die im März bekanntgewordenen Exchange-Schwachstellen wurden nach Schätzungen von IT-Sicherheitsexperten Zehntausende E-Mail-Server weltweit infiziert. Die Angreifer nutzten zum Teil aus, dass die Aktualisierungen manuell installiert werden müssen und nicht alle Exchange-Kunden schnell reagierten.
Nach Einschätzung von Microsoft waren die ebenfalls vier Sicherheitslücken aus dem März-Update zunächst von chinesischen Hackern ausgenutzt worden. Später kamen diverse andere Angreifer dazu. Bei einer erfolgreichen Attacke über die Schwachstellen war es möglich, Daten aus dem E-Mail-System abzugreifen.
Unterdessen entfernte die US-Bundespolizei FBI mit richterlichem Beschluss Schadsoftware von "hunderten Computern" in den USA, die mit Hilfe der im März bekanntgewordenen Sicherheitslücken infiziert wurden. Einige Betreiber von Exchange-Servern seien nicht in der Lage gewesen, die im Januar und Februar von Angreifern eingerichteten Hintertüren selbst zu löschen, teilte das US-Justizministerium zur Begründung mit.
Von den Exchange-Schwachstellen sind nur Server betroffen, die Unternehmen selbst betreiben. In den Online-Versionen der Exchange-Dienste finden sie sich nicht. In dem großen Paket von Sicherheitsupdates schloss Microsoft zum April-Patchday 2021 mehr als 100 Schwachstellen, unter anderem im Betriebssystem Windows, seinem Webbrowser Edge und den Office-Büroprogrammen. (dpa/pma)