Die Schwachstelle betrifft ausschließlich lokal betriebene Installationen des Exchange Servers. Exchange Online ist nach Angaben von Microsoft nicht verwundbar. Welche genauen Versionsstände betroffen sind, führt der Hersteller in seiner Mitteilung auf.
Der Angriffsweg setzt an einer manipulierten E-Mail an: Öffnet ein Nutzer diese in Outlook Web Access und liegen weitere, von Microsoft als „bestimmte Interaktionsbedingungen" bezeichnete Umstände vor, kann beliebiger JavaScript-Code im Kontext des Browsers ausgeführt werden. Microsoft stuft den Fehler als Spoofing-Problem ein, das aus einer Cross-Site-Scripting-Schwäche resultiert. Die Bewertung „Exploitation Detected" zeigt an, dass eine Ausnutzung in freier Wildbahn bereits beobachtet wurde.
Einen vollständigen Patch bereitet Microsoft nach eigenen Angaben vor. Übergangsweise liefert das Unternehmen eine Schutzmaßnahme über den Exchange Emergency Mitigation Service aus. Dieser greift automatisch über eine URL-Rewrite-Konfiguration und ist standardmäßig aktiviert; wo der Dienst deaktiviert ist, empfiehlt Microsoft, ihn einzuschalten.
Für Umgebungen, in denen der Emergency Mitigation Service wegen Air-Gap-Beschränkungen nicht infrage kommt, hat Microsoft eine alternative Abfolge von Maßnahmen beschrieben.
Zudem weist der Hersteller auf ein bekanntes Anzeigeproblem hin: Im Beschreibungsfeld kann die Meldung „Mitigation invalid for this exchange version" erscheinen. Laut dem Exchange-Team handelt es sich dabei um einen rein kosmetischen Fehler — die Schutzmaßnahme werde erfolgreich angewendet, sofern der Status als „Applied" ausgewiesen sei. Man untersuche, wie sich das Problem beheben lasse.
Wie die Lücke konkret ausgenutzt wird, wer hinter den Angriffen steht und in welchem Umfang sie stattfinden, ist bislang nicht bekannt. Ebenso offen bleibt, gegen wen sich die Angriffe richten und ob sie erfolgreich waren. Bis auf Weiteres rät Microsoft, die empfohlenen Schutzmaßnahmen umzusetzen.