Mises à jour de sécurité du serveur Exchange d’août 2023

Microsoft a publié plusieurs mises à jour de sécurité (SU) pour Microsoft Exchange Server afin de corriger les vulnérabilités. En raison de la nature critique de ces vulnérabilités, nous recommandons aux clients d'appliquer immédiatement les mises à jour aux systèmes concernés afin de protéger l'environnement.

Note:Ces vulnérabilités affectent Microsoft Exchange Server. Exchange Online n’est pas affecté.

Microsoft a publié des mises à jour de sécurité pour les vulnérabilités trouvées dans :

Serveur Exchange 2016
Serveur Exchange 2019

Ces mises à jour de sécurité sont disponibles pour les versions spécifiques suivantes d'Exchange :

Exchange Server 2016 (CU23)
Exchange Server 2019 (CU12,CU13)

En savoir plus sur la façon d'installer la mise à jour de sécurité Exchange.

Si vous n'utilisez pas ces versions d'Exchange Server CU, veuillez mettre à jour dès maintenant et appliquer le correctif ci-dessus.

En savoir plus sur la façon d’installer la mise à jour cumulative Exchange.

Les vulnérabilités corrigées dans les mises à jour de sécurité d’août 2023 ont été signalées de manière responsable par les partenaires de sécurité et découvertes grâce aux processus internes de Microsoft. Bien que nous n'ayons connaissance d'aucun exploit actif dans la nature, notre recommandation est d'installer ces mises à jour immédiatement pour protéger votre environnement.

Étapes nécessaires pour traiter CVE-2023-21709

Pour aborderCVE-2023-21709, les administrateurs doivent effectuer des actions supplémentaires et peuvent exécuter leCVE-2023-21709.ps1script que nous avons publié. Le script et sa documentation peuvent être trouvés ici. Nous avons validé le script et la résolution CVE uniquement sur les versions prises en charge d'Exchange Server. Nous vous recommandons d’abord de mettre à jour vers August SU, puis d’exécuter le script.

Fonctionnalités introduites dans cette mise à jour

Activer la prise en charge du contenu chiffré AES256-CBC dans Exchange Server août 2023 SU

Problèmes connus dans cette mise à jour

Lorsque vous installez cette mise à jour de sécurité sur un serveur Windows qui exécute une version du système d'exploitation dans une langue autre que l'anglais, le programme d'installation s'arrête soudainement et annule les modifications. Toutefois, les services Exchange Server restent désactivés. Pour plus d'informations, voirL'installation de la mise à jour de sécurité d'Exchange Server 2019 et 2016 d'août 2023 échoue sur les systèmes d'exploitation non anglais.

Problèmes résolus dans cette mise à jour

Les problèmes suivants ont été résolus dans cette mise à jour :

FAQ

Quel est le rapport entre cette SU et la fonctionnalité de protection étendue ?
Si vous avez déjà activé la protection étendue sur vos serveurs, installez le SU comme d'habitude. Si vous n'avez pas encore activé la protection étendue, notre recommandation est de l'activer après l'installation de SU en janvier (ou plus tard). L’exécution du script Health Checker vous aidera toujours à valider exactement ce que vous devrez peut-être faire après l’installation de SU.

La protection étendue de Windows est-elle une condition préalable qui doit être activée avant ou après l'application du SU, ou s'agit-il d'une activité facultative mais fortement recommandée ?
La protection étendue n'est pas une condition préalable à cette mise à jour de sécurité. Vous pouvez l'installer sans avoir à activer la fonction de protection étendue. Cependant, la configuration de la protection étendue est fortement recommandée, ce qui peut vous aider à protéger vos environnements contre les attaques par relais d'authentification ou « Man in the Middle » (MITM).

Le dernier SU que nous avons installé date de (quelques mois). Devons-nous installer tous les SU dans l’ordre pour installer le dernier ?
Les mises à jour de sécurité d'Exchange Server sont cumulatives. Si vous exécutez la CU sur laquelle la SU peut être installée, vous n'avez pas besoin d'installer toutes les SU dans un ordre séquentiel, mais vous pouvez installer uniquement la dernière SU.

Plus de lecture :Mises à jour de sécurité du serveur Exchange de novembre 2023

Mon organisation est en mode hybride avec Exchange Online. Dois-je faire quelque chose ?
Bien que les clients Exchange Online soient déjà protégés, la mise à jour de sécurité d'août 2023 doit être installée sur vos serveurs Exchange sur site, même s'ils sont utilisés uniquement à des fins de gestion. Vous n'avez pas besoin de réexécuter l'assistant de configuration hybride (HCW) après avoir appliqué les mises à jour.

Dois-je installer les mises à jour sur les postes de travail « Outils de gestion Exchange uniquement » ?
Installez les mises à jour de sécurité sur tous les serveurs Exchange ainsi que sur les serveurs ou postes de travail exécutant les outils de gestion Exchange uniquement, ce qui garantira qu'il n'y a pas d'incompatibilité entre les clients et les serveurs des outils de gestion.

Nous utilisons toujours Exchange Server 2013 sur site pour héberger les boîtes aux lettres. Pouvons-nous avoir une mise à jour pour Exchange Server 2013 pour prendre en charge la nouvelle norme de chiffrement Microsoft 365 AES256-CBC ?
Exchange Server 2013 n'est plus pris en charge et ne recevra aucune autre mise à jour de sécurité. Nous n'effectuons plus de tests de vulnérabilité sur cette version d'Exchange. Exchange Server 2013 est probablement vulnérable à toute vulnérabilité révélée après avril 2023 et vous devez migrer vers Exchange Server 2019 ou Exchange Online dès que possible et mettre hors service Exchange Server 2013 de votre environnement.