Las actualizaciones más recientes de Exchange Server mejoran la seguridad de las cargas útiles de PowerShell y agregan un problema conocido

Con las últimas actualizaciones de Patch Tuesday implementadas en dispositivos Windows, Microsoft también lanzó actualizaciones de enero de 2023 para Exchange Server. Exchange Server 2013, 2016 y 2019 están cubiertos en este lanzamiento, con mejoras y parches de seguridad disponibles en todos los ámbitos.

Las últimas actualizaciones de seguridad (SU) resuelven varios problemas de seguridad que fueron descubiertos por el propio Microsoft o que sus socios le informaron de forma privada. El gigante tecnológico de Redmond dice que no ha encontrado evidencia que sugiera que estas vulnerabilidades estaban siendo explotadas en la naturaleza. Puede descargar las SU desde el Catálogo de actualizaciones o a través de los enlaces a continuación:

• Exchange Server 2013 CU23 (el soporte y las actualizaciones finalizan el 11 de abril de 2023)
• Servidor de intercambio 2016 CU23
• Exchange Server 2019 CU11 y CU12

Microsoft también ha destacado una importante mejora que ha realizado en su perímetro defensivo al permitir la firma basada en certificados de las cargas útiles de serialización de PowerShell. La empresa explica que:

La serialización es el proceso de convertir el estado de un objeto en una forma (flujo de bytes) que se puede conservar o transmitir a la memoria, una base de datos o un archivo. PowerShell, por ejemplo, utiliza la serialización (y la deserialización equivalente) al pasar objetos entre sesiones. Para defender los servidores de Exchange de los ataques a los datos serializados, agregamos la firma basada en certificados de las cargas útiles de serialización de PowerShell en las SU de enero de 2023. En la primera etapa de implementación, un administrador de Exchange Server debe habilitar manualmente esta nueva función debido a las dependencias de las funciones. Este artículo detalla los pasos para habilitar la firma basada en certificados de datos de serialización en Exchange Server. También hemos lanzado un guión .puede usar para validar/crear el certificado de autenticación requerido en su organización o puede hacerlo manualmente .

Microsoft ha enfatizado que solo debe habilitar la firma basada en certificados después de haber instalado SU de enero de 2023 en todas sus instancias de Exchange Server. Si lo habilita antes, es posible que encuentre fallas en sus flujos de trabajo. Por ahora, esta función debe habilitarse manualmente, pero Microsoft la activará de forma predeterminada en una actualización futura.

Curiosamente, también hay un problema conocido introducido en estas actualizaciones. Básicamente, las vistas previas de la página web para las direcciones URL compartidas en Outlook Web App (OWA) no se representarán correctamente. Microsoft dice que solucionará el problema en una «actualización futura», pero no especifica exactamente cuándo.