Sårbarhed i Microsoft Exchange Server Hybrid Deployment
Der er fundet en "elevation of privilege"-sårbarhed i Microsoft Exchange Server Hybrid Deployment. Sårbarheden har id’et EUVD-2025-23857 (CVE-2025-53786).
Den 18. april 2025 annoncerede Microsoft sikkerhedsændringer for Exchange Server til hybride implementeringer samt en ikke-sikkerhedsrelateret Hot Fix. Microsoft foretog disse ændringer for at forbedre sikkerheden for hybride Exchange-implementeringer, fremgår det af Microsofts advisory. Efter yderligere undersøgelse identificerede Microsoft specifikke sikkerhedsmæssige implikationer knyttet til retningslinjerne og konfigurationsskridtene, der blev beskrevet i deres april-meddelelse.
Microsoft har derfor identificeret udfordringerne som en sårbarhed, der således er udstedt et id-nummer til. Sårbarheden kan adresseres ved at følge de skridt, der er dokumenteret med meddelelsen den 18. april. Microsoft anbefaler stærkt at læse oplysningerne, installere hotfixet fra april 2025 (eller senere) og implementere ændringerne i Exchange Server og hybride miljø (se referencer).
De berørte systemer er
- Microsoft Exchange Server 2019 Cumulative Update 14
- Microsoft Exchange Server 2019 Cumulative Update 15
- Microsoft Exchange Server 2016 Cumulative Update 23
- Microsoft Exchange Server Subscription Edition RTM
Der er ikke rapporteret om aktiv udnyttelse.
En "Elevation of Privilege" sårbarhed i Microsoft Exchange Server Hybrid Deployment kan give en ondsindet aktør, med administrativ adgang til en On-Prem Microsoft Exchange-server, muligheden for at opgradere privilegier ved at udnytte sårbare hybrid-tilsluttede konfigurationer. Denne sårbarhed, hvis ikke den håndteres, kan påvirke identitetsintegriteten af en organisations Exchange Online-tjeneste.
Det anbefales at opdatere den(de) sårbare installation(er) med det samme.