04.03.2021

Failles de sécurité sur les serveurs Microsoft Exchange

Sécurité

Des failles de sécurité repérées par Microsoft sur les serveurs Microsoft Exchange installés sur site rendent indispensable l’installation de mises à jour de sécurité par toutes les institutions ayant recours à ce type de produits.

De multiples attaques ciblées exploitant des vulnérabilités d’exécution de code à distance dans Microsoft Exchange Server ont été détectés début mars 2021 par le Centre de réponse aux problèmes de sécurité Microsoft (Microsoft Security Response Center, MSRC) qui examine les rapports de failles de sécurité concernant les produits et services Microsoft. Ces vulnérabilités, qui ne concernent que les serveurs Exchange installés sur un serveur local, permettent notamment l'accès aux comptes de messagerie électronique et l'installation de logiciels malveillants.

3 systèmes affectés

  • Microsoft Exchange Server 2013
  • Microsoft Exchange Server 2016
  • Microsoft Exchange Server 2019

7 failles de sécurité détectées

  • CVE-2021-26855 (CVSS Base Score: 9.1)
  • CVE-2021-26857 (CVSS Base Score: 7.8)
  • CVE-2021-26858 (CVSS Base Score: 7.8)
  • CVE-2021-27065 (CVSS Base Score: 7.8)
  • CVE-2021-26412 (CVSS Base Score: 9.1)
  • CVE-2021-26854 (CVSS Base Score: 6.6)
  • CVE-2021-27078 (CVSS Base Score: 9.1)

Parmi elles, celle référencée ‘CVE-2021-26855', peut, si elle est combinée à d'autres failles, permettre la prise de contrôle totale des serveurs Exchange ainsi que le vol du contenu de toutes les boîtes aux lettres électronique.

Pour contrer cela, une mise à jour exceptionnelle est proposée par Microsoft. Ces correctifs doivent être appliquées par toutes les équipes techniques gérant un serveur Microsoft Exchange au sein de leur institution :

  • soit de manière automatique, si celle-ci a été activée sur les serveurs
  • soit de manière autonome en téléchargeant et installant manuellement le paquet correspondant à votre cas tel que proposé par le support de Microsoft