Microsoft, Exchange Server 2016 ve 2019 sürümleri için Ekim 2023 Güvenlik Güncelleştirmesi (SU) yayımladı.
Exchange Server Security Update aşağıdaki sürümler için geçerlidir;
Microsoft, bu güvenlik açıklarının şirketin iç süreçleri ve güvenlik ortakları tarafından sorumlu bir şekilde bildirildiğini belirtti. Şu anda bu güvenlik açıklarını kullanarak aktif bir saldırının gerçekleştirildiğine dair bir bilgi bulunmamakla birlikte, kullanıcıların ortamlarını korumak için bu güncellemeleri hemen yüklemeleri öneriliyor.
Bu güvenlik açıkları, Exchange Server’ı etkilemektedir. Exchange Online müşterileri, bu güncellemelerle ele alınan güvenlik açıklarından zaten korunmuş durumda ve Exchange sunucularını veya Exchange Yönetim araçlarını güncelleme dışında bir eylemde bulunmaları gerekmiyor.
CVE-2023-21709 İçin Yeni Çözüm: CVE-2023-36434 Güncellemesini Yükleyin
Ağustos 2023’teki SU yayınlandığında, CVE-2023-21709‘u ele almak için IIS Token Cache modülünü manuel veya betikli bir çözümle devre dışı bırakmamız önerilmişti. Ancak bugün, Windows ekibi, bu güvenlik açığının temel nedeni için bir düzeltme olan CVE-2023-36434 için IIS düzeltmesini yayınladı. Bu IIS düzeltmesinin yüklenmesinin ardından, Exchange sunucularınızda Token Cache modülünü yeniden etkinleştirebilirsiniz.
Eğer CVE-2023-21709’u ele almak için henüz bir adım atmadıysanız:
- Tüm Exchange Sunucularınıza CVE-2023-36434 güncellemesini yükleyin.
Eğer Ağustos 2023 önerilerine uyarak Token Cache modülünü devre dışı bıraktıysanız veya modülü devre dışı bıraktıktan sonra olası performans sorunları yaşadıysanız:
- Tüm Exchange Sunucularınıza CVE-2023-36434 güncellemesini yükleyin.
- IIS Token Cache modülünü şu adımlarla yeniden etkinleştirin:
- Tek bir sunucuda Token Cache modülünü etkinleştirmek için, yükseltilmiş PowerShell penceresinden şunu çalıştırın:
New-WebGlobalModule -Name "TokenCacheModule" -Image "%windir%\System32\inetsrv\cachtokn.dll"
Organizasyondaki tüm sunucularda Token Cache modülünü etkinleştirmek için (Windows Güncellemeleri yüklendikten sonra), Exchange Management Shell (EMS) Yönetici olarak CVE-2023-21709.ps1 scriptini kullanabilirsiniz:
CVE-2023-21709 – Microsoft – CSS-Exchange
.\CVE-2023-21709.ps1 -Rollback
Çözülen Sorunlar
- Kullanıcılar, çok multi forest dağıtımlarında OWA’da süresi dolan parolayı değiştirememe sorunu çözüldü.
- Extended Protection, Mac için Outlook’un OAB’yi indirememesine neden oluyor (Genişletilmiş Koruma komut dosyasının yeni sürümünü yayınlanacak).