CVE-2021-34523

highPriorität · handeln · 90OT-Risiko · kritischKEV · ausgenutztEPSS 1.000 · 100. PerzentilExploit · waffenfähigDEEURUUS

grimoire priorityP0 · Act now

Exploitable?

Yes · in the wild

CISA KEV · 3 exploits · waffenfähig

Likely / severe?

100.0% (100th) EPSS

CVSS 7.5 · high

Is it mine?

28 products

Prüfe deine Angriffsfläche

Who says so?

5 sources

cnnvd · enisa_euvd · fstec_bdu · cert_bund

hinzugefügt 2021-11-03beheben bis 2021-11-17

erforderliche Maßnahme Apply updates per vendor instructions.

EPSS · bewertet 2026-10-27

Microsoft Exchange Server Privilege Escalation Vulnerability

Microsoft Exchange Server Elevation of Privilege Vulnerability

Behebungen

Hersteller-Fix, Mitigation oder Workaround, wie von den Quellen veröffentlicht.

Ein Hersteller-Fix ist verfügbar.

BehobenMicrosoft Exchange Server 2013 Cumulative Update 23msrc_csaf
15.00.1497.015:Security Update:https://support.microsoft.com/help/5001779
https://support.microsoft.com/help/5001779
BehobenMicrosoft Exchange Server 2016 Cumulative Update 19msrc_csaf
15.01.2176.012:Security Update:https://support.microsoft.com/help/5001779
https://support.microsoft.com/help/5001779
BehobenMicrosoft Exchange Server 2016 Cumulative Update 20msrc_csaf
15.01.2242.008:Security Update:https://support.microsoft.com/help/5001779
https://support.microsoft.com/help/5001779
BehobenMicrosoft Exchange Server 2019 Cumulative Update 8msrc_csaf
15.02.0792.013:Security Update:https://support.microsoft.com/help/5001779
https://support.microsoft.com/help/5001779
BehobenMicrosoft Exchange Server 2019 Cumulative Update 9msrc_csaf
15.02.0858.010:Security Update:https://support.microsoft.com/help/5001779
https://support.microsoft.com/help/5001779

cvss

Technischer Schweregrad, 0–10. Eine Zeile je Quelle.

9.8

010

Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen⚠ Quellen uneinig · high–critical · 7.5–9.8

v2.07.5highAV:N/AC:L/Au:N/C:P/I:P/A:Pprimary · NVD / NIST USAusnutzbarkeit 10 · Auswirkung 6.4

v2.07.5highAV:N/AC:L/Au:N/C:P/I:P/A:P/E:Hsecondary · CVSS-BT (t0sche)

v3.17.7highAV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Nsecondary · FSTEC (BDU) RU

v3.19criticalCVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:Nsecondary · secure@microsoft.com USAusnutzbarkeit 2.5 · Auswirkung 5.8

v3.19criticalCVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N/E:U/RL:O/RC:Csecondary · Microsoft Security Response Center US

v3.19criticalCVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N/E:U/RL:O/RC:Csecondary · ENISA EU

v3.19.8criticalCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hsecondary · NVD / NIST USAusnutzbarkeit 3.9 · Auswirkung 5.9

SSVC

Eine Handlungsentscheidung — aus Ausnutzung und Auswirkung.

Exploitation: active · Automatable: no · Technical Impact: totalcoordinatorcisa_ssvcUS

schwächen

Die CWE-Schwächeklassen, zu denen dies gehört.

CWE-264US

ATT&CK-Techniken

ATT&CK-Techniken, die dies ermöglicht oder abbildet.

T1190Exploit Public-Facing Application — This privilege escalation vulnerability can be exploited by sending a specially crafted HTTP request to the exchange server, is it often chained together with CVE-2021-34473, a remote code execution vulnerability.Ausnutzung

Exploits (3)

Öffentlicher Proof-of-Concept- und Exploit-Code.

exploit/windows/http/exchange_proxyshell_rceMicrosoft Exchange ProxyShell RCEwaffenfähig · metasploit
SUPRAAA-1337/CVE-2021-34523test-yamlPoC · poc_in_github
mithridates1313/ProxyShell_POCPOC for scanning ProxyShell(CVE-2021-34523,CVE-2021-34473,CVE-2021-31207)PoC · poc_in_github

betroffene Produkte (28)

Betroffene Produkte und Versionsbereiche.

Microsoft Exchange Server 2013 Cumulative Update 23alle Versionencert_bundDEcpe:/a:microsoft:exchange_server_2013::cumulative_update_23
Microsoft Exchange Server 2016 Cumulative Update 19alle Versionencert_bundDEcpe:/a:microsoft:exchange_server_2016:cumulative_update_19
Microsoft Exchange Server 2016 Cumulative Update 20alle Versionencert_bundDEcpe:/a:microsoft:exchange_server_2016:cumulative_update_20
Microsoft Exchange Server 2019 Cumulative Update 8alle Versionencert_bundDEcpe:/a:microsoft:exchange_server_2019:cumulative_update_8
Microsoft Exchange Server 2019 Cumulative Update 9alle Versionencert_bundDEcpe:/a:microsoft:exchange_server_2019:cumulative_update_9
Microsoft Microsoft Exchange Server 2013 Cumulative Update 2315.00.0 → 15.00.1497.015enisa_euvdEU
Microsoft Microsoft Exchange Server 2016 Cumulative Update 1915.01.0 → 15.01.2176.012enisa_euvdEU
Microsoft Microsoft Exchange Server 2016 Cumulative Update 2015.01.0 → 15.01.2242.008enisa_euvdEU
Microsoft Microsoft Exchange Server 2019 Cumulative Update 815.02.0 → 15.02.0792.013enisa_euvdEU
Microsoft Microsoft Exchange Server 2019 Cumulative Update 915.02.0 → 15.02.0858.010enisa_euvdEU
Microsoft Corp Microsoft Exchange Server≤ 2019 Cumulative Update 8fstec_bduRU
Microsoft Corp Microsoft Exchange Server≤ 2016 Cumulative Update 20fstec_bduRU
Microsoft Corp Microsoft Exchange Server≤ 2019 Cumulative Update 9fstec_bduRU
Microsoft Corp Microsoft Exchange Server≤ 2013 Cumulative Update 23fstec_bduRU
Microsoft Corp Microsoft Exchange Server≤ 2016 Cumulative Update 19fstec_bduRU
Microsoft Exchange Server 2013 Cumulative Update 23alle Versionenfixedmsrc_csafUS
Microsoft Exchange Server 2013 Cumulative Update 23< 15.00.1497.015msrc_csafUS
Microsoft Exchange Server 2016 Cumulative Update 19alle Versionenfixedmsrc_csafUS
Microsoft Exchange Server 2016 Cumulative Update 19< 15.01.2176.012msrc_csafUS
Microsoft Exchange Server 2016 Cumulative Update 20alle Versionenfixedmsrc_csafUS

20 von 28 angezeigt

Advisories (2)

Hersteller- und Ökosystem-Meldungen dazu.

WID-SEC-W-2024-1897Microsoft Exchange Server: Mehrere SchwachstellenDeutsch2021-07-13csaf · cert_bundDE
Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Microsoft Exchange Server 2013, Microsoft Exchange Server 2016 und Microsoft Exchange Server 2019 ausnutzen, um beliebigen Programmcode auszuführen, um seine Privilegien zu erhöhen und um Informationen offenzulegen.
msrc_CVE-2021-34523Microsoft Exchange Server Elevation of Privilege Vulnerability2021-07-13csaf · msrc_csafUS
To determine the support lifecycle for your software, see the Microsoft Support Lifecycle: https://support.microsoft.com/lifecycle

auch bekannt als (4)

Weitere Namen und Kennungen dieser Entität.

quellen

Welche Quellen diesen Datensatz belegen und wann.

cnnvd enisa_euvd fstec_bdu cert_bund msrc_csaf NVD CVE.org MITRE

veröffentlicht 2021-07-14geändert 2026-08-10

Referenzen (12)

Externe Belege — Patches, Meldungen, Analysen.

scry

Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.

Kostenloser Scan