Sicherheitsupdate vom Dezember 2014 für Exchange Server 2013 Service Pack 1 und kumulatives Update 6
Symptome
Symptome 1: Schwachstelle durch Token-Spoofing in Outlook Web App
In Microsoft Exchange Server besteht eine Sicherheitslücke durch Token-Spoofing. Es könnte einem Angreifer ermöglichen, E-Mail-Nachrichten zu versenden, die scheinbar von einer vertrauenswürdigen Quelle stammen und die Nachrichten einen Link zu einer Website des Angreifers enthalten. In einem webbasierten Angriffsszenario könnte ein Angreifer eine Website hosten, auf der versucht wird, diese Sicherheitslücke auszunutzen. Darüber hinaus könnten kompromittierte Websites und Websites, die von Benutzern bereitgestellte Inhalte oder Werbung akzeptieren oder hosten, speziell gestaltete Inhalte enthalten, die diese Sicherheitslücke ausnutzen könnten. Allerdings kann ein Angreifer in fast allen Fällen Benutzer nicht dazu zwingen, die vom Angreifer kontrollierten Inhalte anzusehen. Stattdessen müsste ein Angreifer Benutzer dazu verleiten, Maßnahmen zu ergreifen, indem er sie normalerweise auf einen Link in einer E-Mail-Nachricht oder Instant Messenger-Nachricht klicken lässt, um Benutzer auf seine Website zu leiten.
Symptome 2: Sicherheitslücke bei der Exchange-URL-Umleitung
Ein Angreifer kann einen Benutzer von einem Link, der scheinbar von einer bekannten oder vertrauenswürdigen Domäne stammt, zu einer beliebigen URL umleiten.
Anmerkungen
Um den schädlichen Link zu generieren, muss ein Angreifer bereits ein authentifizierter Exchange-Benutzer sein und E-Mail-Nachrichten senden können.
Der bösartige Link könnte in einer E-Mail gesendet werden, aber der Angreifer müsste Benutzer dazu verleiten, den Link zu öffnen, um die Sicherheitslücke auszunutzen.
Symptome 3: Mehrere XSS-Sicherheitslücken in Outlook Web App
Ein Angreifer, der diese Schwachstellen erfolgreich ausnutzt, könnte Inhalte lesen, für die er keine Leseberechtigung hat. Der Angreifer könnte auch die Identität des Opfers nutzen, um im Namen des Opfers Aktionen auf der Outlook Web App-Website durchzuführen, wie etwa das Ändern von Berechtigungen, das Löschen von Inhalten und das Einschleusen schädlicher Inhalte in den Browser des Opfers.
Ursache
Ursache für Symptome 1
Dieses Problem tritt auf, weil Outlook Web App ein Anforderungstoken nicht ordnungsgemäß validiert.
Ursache für Symptome 2
Dieses Problem tritt auf, weil Outlook Web App Umleitungstoken nicht ordnungsgemäß validiert.
Ursache für Symptome 3
Dieses Problem tritt auf, weil Exchange Server die Eingabe nicht ordnungsgemäß validiert.
Auflösung
Methode 1: Windows Update
Dieses Update ist über Windows Update verfügbar.
Methode 2: Microsoft Update-Katalog
Um das eigenständige Paket für dieses Update zu erhalten, besuchen Sie die Microsoft Update Catalog- Website.
Methode 3: Installieren Sie ein Update
Wir empfehlen die Installation des kumulativen Updates 7 oder eines späteren Updates, das diesen Sicherheitsupdate für Exchange Server 2013 enthält.
Status
Microsoft hat bestätigt, dass es sich hierbei um ein Problem bei den Microsoft-Produkten handelt, die im Abschnitt „Gilt für" aufgeführt sind.
No comments:
Post a Comment