Exchange 的安全性更新 (2017 年 9 月)

medium Nessus Plugin ID 103139

語系：

概要

遠端主機上安裝的 Microsoft Exchange Server 受到多個弱點影響。

說明

遠端主機上安裝的 Microsoft Exchange Server 缺少安全性更新。因此，該應用程式受到多個弱點影響：

- Microsoft Exchange Outlook Web Access (OWA) 無法正確處理網路要求時，存在權限提高弱點。成功利用此弱點的攻擊者可執行指令碼/內容插入攻擊，以及嘗試誘騙使用者洩漏敏感資訊。若要加以惡意利用，攻擊者可傳送含有惡意連結的特製電子郵件訊息給使用者。或者，攻擊者可使用聊天用戶端，以社交工程方式誘騙使用者按下惡意連結。安全性更新透過修正 Microsoft Exchange 驗證網路要求的方式解決此弱點。注意：為利用此弱點，使用者必須按下攻擊者的惡意建構連結。(CVE-2017-8758)

- Microsoft Exchange 中存在輸入清理問題，可能導致非預期的資訊洩漏。成功利用此弱點的攻擊者可以從網際網路上的用戶端識別本機網路上 RFC1918 位址的存在。攻擊者可使用這個內部主機資訊作為更大型攻擊的一部分。若要加以惡意利用，攻擊者可在傳送給 Exchange 伺服器的行事曆相關訊息中包含特製的標籤。這些有特製標籤的訊息可提示 Exchange 伺服器從內部伺服器擷取資訊。透過觀察來自這些要求的遙測，用戶端可識別應該從網際網路隱藏的內部主機屬性。更新可修正 Exchange 剖析行事曆相關訊息的方式。(CVE-2017-11761)