Het Zwitserse NCSC slaagt er niet in het aantal kwetsbare Exchange servers in het land te laten patchen. Daarom kiest het nu een bijzonder ouderwetse methode om de beheerders te bereiken. De posterijen worden hiervoor aan het werk gezet.
Het is betrekkelijk eenvoudig om Exchange servers te vinden met de ProxyNotShell kwetsbaarheid. Een patch voor CVE-2022-41040 en CVE-2022-41082 is al enige tijd beschikbaar, maar wordt niet overal uitgerold (zie ook link). In Zwitserland staat de teller op ruim 2.800 risico gevallen.
80-20 regel voor patchen
Door meerdere partijen, waaronder het NSCS is al flink gecommuniceerd met de beheerders van deze servers. Schijnbaar lukt het echter niet iedereen van deze groep te benaderen. Dat is herkenbaar. Ook in Nederland is het betrekkelijk eenvoudig de eerste 80 procent snel tot actie te bewegen, de laatste 20 procent vergt meer energie. Uiteindelijk van die restgroep nog eens 20 procent niet te traceren.
De vraag waar elke instantie mee zit is dan ook hoe je die restgroepen wel te traceren zijn. Het gaat hier dus om servers die vanaf het internet zichtbaar zijn. Je zou verwachten dat die een beheerder hebben en dat die persoon of organisatie per e-mail bereikbaar moet zijn.
Postbode
De Zwitsers slagen daar tot nu toe niet in en grijpen daarom nu terug op een ouderwets middel. Naar alle adressen met een brakke Exchange server wordt een aangetekende brief gestuurd. Dat is best slim, want daarmee krijgt men in ieder geval antwoord op de vraag of er nog iemand werkzaam is op dat adres of dat de server in een ruimte staat die door niemand meer wordt beheerd.
Ook slim is de vervolgstap die dit mogelijk maakt. Met deze aanpak worden de “verweesde†Exchange servers in kaart gebracht. Dat opent de weg naar het remote afsluiten of patchen. NSCS kan namelijk aantonen echt heel veel gedaan te hebben om de beheerders te contacteren. Meer is simpelweg niet mogelijk, behalve dan een bezoek ter plekke. Maar wordt al min of meer gedaan door de postbode die de brief overhandigt.
(link)
