Exchange-Lücke: 40.000 Server ungepatcht

Bereits im Februar 2020 hat Microsoft kritische #Sicherheitslücken im #Exchange Server geschlossen. Sie ermöglicht es Angreifern, das System über das Internet (per Web App bzw. die Push-E-Mail-Schnittstelle) komplett zu übernehmen. Die Lücke betrifft alle Exchange Server ab 2003. Patches stehen jedoch nur für die noch unterstützten Exchange Versionen: 2013, 2016 und 2019 zur Verfügung. Außerhalb der Reihe auch noch ein Notfallpatch für Exchange 2010 (hier war der offizielle Support bereits im Februar 2020 beendet).

Weil die Sicherheitsforscher immer 90 Tage nach einem Patch die Funktionsweise von Sicherheitslücken veröffentlichen, besteht ein hohes Risiko. Internet-Analysen haben bestätigt, dass (Stand gestern) über 40.000 Server weltweit nicht gepatcht sind.

Handlungsbedarf

Im Dokument zur CVE-2020-0688 ist beschrieben, was zu tun ist. Wer noch Exchange 2010 im Einsatz hat, sollte sich zusätzlich zeitnah überlegen, nach Exchange online zu migrieren (Listenpreis pro User/Postfach/Monat rund 4,20 €). Die Miete von Exchange ist unter Betrachtung der Leistungsmerkmale und Sicherhit/Verfügbarkeit haushoch überlegen gegenüber dem Neukauf aller Lizenzen und der Aufrüstung der Server. Zudem entfällt der hohe Migrationsaufwand dann nach vollendeter Exchange Online-Migration für die Zukunft.

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-0688

Admins, die neuere Versionen einsetzen, haben neben dem Installieren des Sicherheitspatches erst wieder Handlungsbedarf, wenn die Hardware Garantie abläuft. Dann wird die Online Migration auch für diese Szenarien wirtschaftlich und interessant.

Remote Desktop Connection Manager eingestellt - Alternativen

Microsoft hat den Download für seinen #Remote Desktop Connection Manager #RDCMAN entfernt. Die Weiterentwicklung ist eingestellt. Hinter der Einstellung steckt eine Sicherheitslücke im Programm, die es Angreifern ermöglicht, mit manipulierten RDP-Dateien auf Dateien auf dem Admin-PC zuzugreifen. Damit sie genutzt werden kann, muss der Admin diese RDG-Datei aber erstmal ausführen. Normalerweise sind RDG-Dateien aber selbst erstellt vom Admin und gelangen nicht in Hände Dritter. Auch werden keine RDG-Dateien aus dem Internet ausgeführt:

- RDCMan is vulnerable to CVE-2020-0765 (opening malicious RDG files lets attackers retrieve files from your system)

Die ferngewarteten Server sind davon nicht betroffen, da RDCMan lediglich den RDP-Client vom Betriebssystem fernsteuert.

Alternativen

Auch wenn die Lücke im Programm keine nennenswerten Sicherheits-Risiken darstellt, gibt es leistungsfähigere Alternativen, die ebenfalls kostenlos sind.

mRemote NG - Open Source

mRemote NG ist ein Open Source Projekt, dass die Oberfläche für RDP, VNC, Putty, Telnet und HTTP(s) Seiten bildet. So lassen sich aus einer Oberfläche heraus bedienen. Importieren lassen sich .rdg Dateien, Active Directory Objekte und ein IP-Scann kann auch die Server einsammeln. Leider gibt es keine Thumbnails, die auf einer Seite alle geöffneten Serverbildschirme anzeigen.

RDP-Manager - Freeware

Dann gibt es noch den RDP-Manager. Zwar ist er wesentlich größer (Installationspaket 64 MB, installiert 200 MB), kann aber sowohl Voransichten der fernzuwartenden Server anzeigen (Live Thumbnails), als auch VNC-Sitzungen verwalten und Telnet-Sitzungen. Die Software ist also eine Kombination aus RDCMan und MRemote NG. Im Lizenzvertrag stehen keine Einschränkungen seitens der geschäftlichen Nutzung

RDP-Dateien können im Stapel importiert werden, RDG-Dateien leider nicht. Eine SQLite Datenbank verwaltet die Einträge. Schön ist, dass ein Zertifikat für die RDP-Sitzungen installiert werden kann und die lästigen gelben Meldungen entfallen.

Fazit

Auch wenn die neuste Version im Development Channel von September 2019 ist, bietet bietet mRemote NG mit dieser Version mittlerweile die meisten Leistungsmerkmale. Dadurch, dass der Quellcode offen liegt auf Github, könnten Fehler und Sicherheitslücken schnell behoben werden (vorausgesetzt, dort schaut jemand rein). Die entscheidende Neuerung ab Version 1.77 ist, dass nun die RDP DLL von Microsoft aus der Anwendung aufgerufen wird, was die alten Versionen nicht machten.

Wer die Voransichten haben möchte und auf IP-Scan oder RDG Import verzichten möchte, kann den RDP-Manager von cinspiration.de nehmen.