The Microsoft Exchange Server installed on the remote host is missing security updates. It is, therefore, affected by multiple vulnerabilities :

  - An elevation of privilege vulnerability exists when     Microsoft Exchange Outlook Web Access (OWA) fails to     properly handle web requests. An attacker who     successfully exploited this vulnerability could perform     script/content injection attacks and attempt to trick     the user into disclosing sensitive information. To     exploit the vulnerability, an attacker could send a     specially crafted email message containing a malicious     link to a user. Alternatively, an attacker could use a     chat client to social engineer a user into clicking the     malicious link. The security update addresses the     vulnerability by correcting how Microsoft Exchange     validates web requests. Note: In order to exploit this     vulnerability, a user must click a maliciously crafted     link from an attacker. (CVE-2017-8758)

  - An input sanitization issue exists with Microsoft     Exchange that could potentially result in unintended     Information Disclosure. An attacker who successfully     exploited the vulnerability could identify the existence     of RFC1918 addresses on the local network from a client     on the Internet. An attacker could use this internal     host information as part of a larger attack. To exploit     the vulnerability, an attacker could include specially     crafted tags in Calendar-related messages sent to an     Exchange server. These specially-tagged messages could     prompt the Exchange server to fetch information from     internal servers. By observing telemetry from these     requests, a client could discern properties of internal     hosts intended to be hidden from the Internet. The     update corrects the way that Exchange parses Calendar-     related messages. (CVE-2017-11761)

リモートホストにインストールされているMicrosoft Exchange Serverにセキュリティ更新プログラムがありません。したがって、以下の複数の脆弱性による影響を受けます。

  - Microsoft Exchange Outlook Web Access （OWA）がWebリクエストを適切に処理できないとき、権限の昇格の脆弱性があります。脆弱性の悪用に成功した攻撃者が、スクリプト/コンテンツインジェクション攻撃を行い、秘密情報を漏洩するようユーザーを誘導する可能性があります。この脆弱性を悪用するために、攻撃者は悪意のあるリンクを含む特別に細工された電子メールメッセージをユーザーに送信する可能性があります。あるいは、攻撃者は、チャットクライアントを使用して、ユーザーをソーシャルエンジニアリングして悪意のあるリンクをクリックさせる可能性があります。セキュリティ更新プログラムでは、Microsoft ExchangeがWebリクエストを検証する方法が修正され、この脆弱性に対処しています。注 : この脆弱性を悪用するには、ユーザーが攻撃者からの悪意のある細工をされたリンクをクリックする必要があります。（CVE-2017-8758）

  - Microsoft Exchangeに、意図しない情報漏洩を招く可能性のある入力サニタイズの問題があります。脆弱性の悪用に成功した攻撃者は、インターネット上のクライアントから、ローカルネットワーク上のRFC1918アドレスの存在を特定できます。攻撃者は、より大きな攻撃の一部として、この内部ホスト情報を使用する可能性があります。この脆弱性を悪用するために、攻撃者は、Exchangeサーバーに送信された予定表に関連するメッセージに特別に細工されたタグを含める可能性があります。これらの特別にタグ付けされたメッセージは、Exchangeサーバーに内部サーバーから情報を取得するように促す可能性があります。これらのリクエストからテレメトリーを観察することにより、クライアントはインターネットから隠されることになっている内部ホストのプロパティを識別できます。この更新プログラムは、Exchangeが予定表に関連するメッセージを解析する方法を修正します。（CVE-2017-11761）

遠端主機上安裝的 Microsoft Exchange Server 缺少安全性更新。因此，該應用程式受到多個弱點影響：

  - Microsoft Exchange Outlook Web Access (OWA) 無法正確處理網路要求時，存在權限提高弱點。成功利用此弱點的攻擊者可執行指令碼/內容插入攻擊，以及嘗試誘騙使用者洩漏敏感資訊。若要加以惡意利用，攻擊者可傳送含有惡意連結的特製電子郵件訊息給使用者。或者，攻擊者可使用聊天用戶端，以社交工程方式誘騙使用者按下惡意連結。安全性更新透過修正 Microsoft Exchange 驗證網路要求的方式解決此弱點。注意：為利用此弱點，使用者必須按下攻擊者的惡意建構連結。(CVE-2017-8758)

  - Microsoft Exchange 中存在輸入清理問題，可能導致非預期的資訊洩漏。成功利用此弱點的攻擊者可以從網際網路上的用戶端識別本機網路上 RFC1918 位址的存在。攻擊者可使用這個內部主機資訊作為更大型攻擊的一部分。若要加以惡意利用，攻擊者可在傳送給 Exchange 伺服器的行事曆相關訊息中包含特製的標籤。這些有特製標籤的訊息可提示 Exchange 伺服器從內部伺服器擷取資訊。透過觀察來自這些要求的遙測，用戶端可識別應該從網際網路隱藏的內部主機屬性。更新可修正 Exchange 剖析行事曆相關訊息的方式。(CVE-2017-11761)

远程主机上安装的 Microsoft Exchange Server 缺少安全更新。因此，该服务器受到多个漏洞的影响：

  - Microsoft Exchange Outlook Web Access (OWA) 未正确处理 Web 请求时，存在权限提升漏洞。成功利用此漏洞的攻击者可执行脚本或内容注入攻击，并试图欺骗用户披露敏感信息。为利用此漏洞，攻击者会向用户发送包含恶意链接的特制电子邮件消息。此外，攻击者可利用社会工程学聊天客户端，诱使用户点击恶意链接。此安全更新通过更正 Microsoft Exchange 验证 Web 请求的方式修复漏洞。注意：若要利用此漏洞，用户必须点击攻击者恶意构建的链接。(CVE-2017-8758)

  - Microsoft Exchange 中存在输入清理问题，可能会导致意外信息泄露。成功利用此漏洞的攻击者可识别 Internet 客户端的本地网络中是否存在 RFC1918 地址。攻击者可将此内部主机信息作为更大攻击的一部分。为利用此漏洞，攻击者可以在发送给 Exchange 服务器的与日历相关的消息中添加特制标签。这些特别标记的消息可提醒 Exchange 服务器从内部服务器获取信息。通过观察这些请求遥测，客户端可以辨别 Internet 上意在隐藏的内部主机属性。更新更正了 Exchange 分析与日历相关消息的方式。(CVE-2017-11761)

ID	名稱	產品	系列	已發布	已更新	嚴重性
103139	Security Updates for Exchange (September 2017)	Nessus	Windows : Microsoft Bulletins	2017/9/12	2024/6/6	medium
103139	Exchangeのセキュリティ更新プログラム（2017年9月）	Nessus	Windows : Microsoft Bulletins	2017/9/12	2024/6/6	medium
103139	Exchange 的安全性更新 (2017 年 9 月)	Nessus	Windows : Microsoft Bulletins	2017/9/12	2024/6/6	medium
103139	Exchange 安全更新（2017 年 9 月）	Nessus	Windows : Microsoft Bulletins	2017/9/12	2024/6/6	medium

偵測

搜尋 Plugin

medium

medium

medium

medium