Problembeschreibung
Symptom 1: Sicherheitsanfälligkeit in Outlook Web App-Token-Spoofing
In Microsoft Exchange Server gibt es eine Sicherheitsanfälligkeit für Token-Spoofing. Damit kann ein Angreifer e-Mail-Nachrichten senden, die anscheinend aus einer vertrauenswürdigen Quelle stammen, und die Nachrichten enthalten einen Link zu einer Website des Angreifers. In einem webbasierten Angriffsszenario kann ein Angreifer eine Website hosten, die verwendet wird, um die Ausnutzung dieser Sicherheitsanfälligkeit zu versuchen. Darüber hinaus können kompromittierte Websites und Websites, die vom Nutzer bereitgestellte Inhalte oder Ankündigungen akzeptieren oder hosten, speziell gestaltete Inhalte enthalten, die diese Sicherheitsanfälligkeit ausnutzen können. In fast allen Fällen kann ein Angreifer Benutzer jedoch nicht zwingen, den von Angreifern kontrollierten Inhalt anzuzeigen. Stattdessen muss ein Angreifer die Benutzer davon überzeugen, Maßnahmen zu ergreifen, in der Regel, indem er auf einen Link in einer e-Mail-Nachricht oder einer Chatnachricht klickt, um Benutzer auf Ihre Website zu übertragen.
Symptom 2: Sicherheitsanfälligkeit bei der Exchange-URL-Umleitung
Ein Angreifer kann einen Benutzer zu einer beliebigen URL von einem Link umleiten, der anscheinend aus einer bekannten oder vertrauenswürdigen Domäne stammt.Hinweise
-
Zum Generieren des böswilligen Links muss ein Angreifer bereits ein authentifizierter Exchange-Benutzer sein und e-Mail-Nachrichten senden können.
-
Der böswillige Link kann in einer e-Mail gesendet werden, doch der Angreifer muss die Benutzer davon überzeugen, den Link zu öffnen, um die Sicherheitsanfälligkeit auszunutzen.
Symptom 3: mehrere XSS-Sicherheitsanfälligkeiten in Outlook Web App
Ein Angreifer, der diese Sicherheitsanfälligkeiten erfolgreich ausnutzt, kann Inhalte lesen, die er nicht lesen darf. Der Angreifer kann auch die Identität des Opfers verwenden, um im Namen des Opfers Aktionen auf der Outlook Web App-Website zu ergreifen, wie beispielsweise das Ändern von Berechtigungen, das Löschen von Inhalten und das injizieren schädlicher Inhalte im Browser des Opfers.
Ursache
Ursache für Symptome 1
Dieses Problem tritt auf, weil Outlook Web App ein Anforderungstoken nicht ordnungsgemäß überprüft.
Ursache für Symptome 2
Dieses Problem tritt auf, weil Outlook Web App keine ordnungsgemäßen Redirection-Token überprüft.
Ursache für Symptome 3
Dieses Problem tritt auf, weil Exchange Server die Eingabe nicht richtig überprüft.
Fehlerbehebung
Methode 1: Windows Update
Dieses Update ist über Windows Update verfügbar.
Methode 2: Microsoft Update-Katalog
Das eigenständige Paket für dieses Update finden Sie auf der Microsoft Update-Katalog-Website.
Methode 3: Installieren eines Updates
Es wird empfohlen, Kumulatives Update 7 oder ein höheres Update zu installieren, das diesen Sicherheitspatch für Exchange Server 2013 enthält.
Status
Microsoft hat bestätigt, dass es sich hierbei um ein Problem bei den in diesem Artikel genannten Microsoft-Produkten handelt.
