Actualizaciones de seguridad de Exchange Server de febrero de 2023

Microsoft lanzó varias actualizaciones de seguridad (SU) para Microsoft Exchange Server para abordar las vulnerabilidades. Debido a la naturaleza crítica de estas vulnerabilidades, recomendamos que los clientes apliquen las actualizaciones a los sistemas afectados de inmediato para proteger el medio ambiente.

Nota: Estas vulnerabilidades afectan a Microsoft Exchange Server. Exchange Online no se ve afectado.

Actualizaciones de seguridad del servidor Exchange

Microsoft ha publicado actualizaciones de seguridad para vulnerabilidades encontradas en:

Servidor Exchange 2013
Servidor Exchange 2016
Servidor Exchange 2019

Estas actualizaciones de seguridad están disponibles para las siguientes versiones específicas de Exchange:

Servidor Exchange 2013 (CU23)
Servidor Exchange 2016 (CU23)
Servidor Exchange 2019 (CU11, CU12)

Lea más sobre cómo instalar la actualización de seguridad de Exchange.

Si no tiene estas versiones de Exchange Server CU, actualice ahora mismo y aplique el parche anterior.

Lea más sobre cómo instalar la actualización acumulativa de Exchange.

Las vulnerabilidades abordadas en las actualizaciones de seguridad de febrero de 2023 fueron informadas de manera responsable por los socios de seguridad y encontradas a través de los procesos internos de Microsoft. Aunque no conocemos ningún exploit activo, nuestra recomendación es instalar estas actualizaciones inmediatamente para proteger su entorno.

Problemas conocidos en esta versión

Exchange Toolbox y Queue Viewer fallan después de habilitar la firma de certificado de carga útil de serialización de PowerShell (Nota: esto es un problema con la característica de firma de certificado de carga útil de serialización de PowerShell, no un problema con la actualización de seguridad)
Después de la instalación de SU de febrero de 2023, algunos clientes de Exchange 2016 y 2019 pueden ver un bloqueo del grupo de aplicaciones de EWS con el ID de evento 4999 con el siguiente error:

E12IIS, c-RTL-AMD64, 15.01.2507.021, w3wp #MSExchangeServicesAppPool, M.Exchange.Diagnostics, M.E.D.ChainedSerializationBinder.EnforceBlockReason, M.E.Diagnostics.BlockedDeserializeTypeException, 437c-dumptidset, 15.01.2507.021.

El problema está causando problemas de conectividad a los clientes que utilizan el protocolo EWS. Tenemos una solución para esto (pero tenga en cuenta que es posible que los eventos 4999 aún se sigan registrando, pero se debe restaurar la funcionalidad). Si tiene este problema, nuestra recomendación es utilizar la siguiente solución y mantener February SU instalado.

1. Cree la siguiente clave de registro en los servidores Exchange:

La clave de registro es del tipo "valor de cadena" y debe tener un valor de 1.

SOFTWARE\Microsoft\ExchangeServer\v15\Diagnostics\DisableBaseTypeCheckForDeserialization

2. Cree la siguiente configuración anulada:

New-SettingOverride -Name "Adding learning location ClientExtensionCollectionFormatter" -Server <ServerName> -Component Data -Section DeserializationBinderSettings -Parameters @("LearningLocations=ClientExtensionCollectionFormatter") -Reason "Deserialization failed"

3. Fuerce la aplicación de la configuración ejecutando lo siguiente:

Get-ExchangeDiagnosticInfo -Process Microsoft.Exchange.Directory.TopologyService -Component VariantConfiguration -Argument Refresh

4. Reinicie los grupos de aplicaciones de IIS.

Problemas resueltos

Los siguientes problemas se han resuelto en esta actualización:

Error de versión al instalar Exchange Server en modo RecoverServer: en adelante, las SU de febrero de 2023 y posteriores no causarán este problema (pero las modificaciones realizadas por la SU de enero de 2023 aún pueden requerir acción manual durante una operación de recuperación del servidor, por lo que los pasos descritos en la El artículo aún podría aplicarse con SU posteriores instaladas)
Después de instalar la SU de enero de 2023 en Exchange 2016 o Exchange 2019, las vistas previas de páginas web para las URL compartidas en OWA no se muestran correctamente
Algunos servicios de Exchange no se inician automáticamente después de instalar la actualización de seguridad de enero de 2023
La firma de carga útil de serialización de PowerShell ahora se puede habilitar si Exchange Server 2013 está en la organización

Preguntas frecuentes

¿Cómo se relaciona esta SU con la función Protección extendida?
Si ya habilitó la Protección extendida en sus servidores, instale la SU como de costumbre. Si aún no habilitó la Protección extendida, nuestra recomendación es habilitarla después de instalar SU de enero (o posterior). La ejecución del script Health Checker siempre le ayudará a validar exactamente lo que debe hacer después de la instalación de SU.

¿Es la Protección extendida de Windows un requisito previo que debe activarse antes o después de aplicar la SU, o es una actividad opcional pero muy recomendada?
La Protección extendida no es un requisito previo para esta actualización de seguridad. Puede instalarlo sin tener que activar la función Protección extendida. Sin embargo, se recomienda encarecidamente configurar la protección extendida, que puede ayudarle a proteger sus entornos contra la retransmisión de autenticación o los ataques "Man in the Middle" (MITM).

La última SU que instalamos tiene (unos meses). ¿Necesitamos instalar todas las SU en orden para instalar la más reciente?
Las actualizaciones de seguridad de Exchange Server son acumulativas. Si está ejecutando la CU en la que se puede instalar la SU, no necesita instalar todas las SU en orden secuencial, sino que solo puede instalar la SU más reciente.

Mi organización está en modo híbrido con Exchange Online. ¿Debo hacer algo?
Si bien los clientes de Exchange Online ya están protegidos, la actualización de seguridad de febrero de 2022 debe instalarse en sus servidores Exchange locales, incluso si se usan solo con fines de administración. No es necesario volver a ejecutar el Asistente de configuración híbrida (HCW) después de aplicar las actualizaciones.

¿Necesito instalar las actualizaciones en las estaciones de trabajo "Sólo herramientas de administración de Exchange"?
Instale actualizaciones de seguridad en todos los servidores Exchange, así como en servidores o estaciones de trabajo que ejecutan únicamente herramientas de administración de Exchange, lo que garantizará que No existe incompatibilidad entre las herramientas de gestión de clientes y servidores.

Más información