Summary
Microsoft heeft kwetsbaarheden verholpen in Exchange, zowel Online als on-premise.
Details
Interpretaties
Een kwaadwillende kan de kwetsbaarheden misbruiken om zich voor te doen als andere gebruiker, zich verhoogde rechten toe te kennen, mogelijk willekeurige code uit te voeren en zo toegang te krijgen tot gevoelige gegevens.
De kwetsbaarheid in Exchange Online is inmiddels door Microsoft centraal verholpen en is opgenomen ter informatie. Hiervoor zijn geen acties benodigd.
De ernstigste kwetsbaarheid in Exchange Server (on-premise) heeft een CVSS van 9.6 toegewezen gekregen en bevindt zich in Outlook Web Access. Deze kwetsbaarheid stelt een kwaadwillende in staat om een Cross-Site-Scripting-aanval (XSS) uit te voeren en zo toegang te krijgen tot de omgeving van het slachtoffer. Er is (nog) geen actief misbruik waargenomen en er is ook geen Proof-of-Concept-code (PoC) bekend, maar Microsoft geeft aan dat zij de kans op misbruik op korte termijn waarschijnlijk achten. Met name OWA-omgevingen die publiek toegankelijk zijn lopen hierdoor verhoogd risico.
```
Microsoft Exchange Online:
|----------------|------|-------------------------------------|
| CVE-ID | CVSS | Impact |
|----------------|------|-------------------------------------|
| CVE-2026-54998 | 8.80 | Verkrijgen van verhoogde rechten |
|----------------|------|-------------------------------------|
Microsoft Exchange Server:
|----------------|------|-------------------------------------|
| CVE-ID | CVSS | Impact |
|----------------|------|-------------------------------------|
| CVE-2026-55005 | 8.80 | Uitvoeren van willekeurige code |
| CVE-2026-55006 | 7.80 | Verkrijgen van verhoogde rechten |
| CVE-2026-55008 | 9.60 | Voordoen als andere gebruiker |
| CVE-2026-55009 | 7.80 | Verkrijgen van verhoogde rechten |
|----------------|------|-------------------------------------|
```
Oplossingen
Microsoft heeft updates beschikbaar gesteld waarmee de beschreven kwetsbaarheden worden verholpen. We raden u aan om deze updates te installeren. Meer informatie over de kwetsbaarheden, de installatie van de updates en eventuele work-arounds vindt u op:
Vulnerabilities 5
-
Critical 9.6
Microsoft Exchange Server Spoofing Vulnerability
Improper neutralization of input during web page generation ('cross-site scripting') in Microsoft Exchange Server allows an unauthorized attacker to perform spoofing over a network.
-
High 8.8
Microsoft Exchange Online Elevation of Privilege Vulnerability
Incorrect authorization in Microsoft Exchange Online allows an authorized attacker to elevate privileges over a network.
-
High 8.8
Microsoft Exchange Server Remote Code Execution Vulnerability
Heap-based buffer overflow in Microsoft Exchange Server allows an authorized attacker to execute code over a network.
-
High 7.8
Microsoft Exchange Server Elevation of Privilege Vulnerability
Insufficient granularity of access control in Microsoft Exchange Server allows an authorized attacker to elevate privileges locally.
-
High 7.8
Microsoft Exchange Server Elevation of Privilege Vulnerability
Deserialization of untrusted data in Microsoft Exchange Server allows an authorized attacker to elevate privileges locally.
Revision history
-
#1.0.0
Initiele versie