Aggiornamento della sicurezza di dicembre 2014 per Exchange Server 2013 Service Pack 1 e aggiornamento cumulativo 6

Sintomi 1: vulnerabilità legata allo spoofing del token di Outlook Web App

In Microsoft Exchange Server esiste una vulnerabilità legata allo spoofing di token. Potrebbe consentire a un utente malintenzionato di inviare messaggi di posta elettronica che sembrano provenire da una fonte attendibile e i messaggi contengono un collegamento a un sito Web dell'aggressore. In uno scenario di attacco basato sul Web, un utente malintenzionato potrebbe ospitare un sito Web usato per provare a sfruttare questa vulnerabilità. Inoltre, i siti web compromessi e i siti Web che accettano o ospitano contenuti o annunci pubblicitari forniti dall'utente potrebbero contenere contenuti appositamente predisposti che potrebbero sfruttare questa vulnerabilità. Tuttavia, in quasi tutti i casi, un utente malintenzionato non può imporre agli utenti di visualizzare il contenuto controllato dall'aggressore. Un utente malintenzionato dovrebbe invece convincere gli utenti a intervenire, in genere facendo clic su un collegamento in un messaggio di posta elettronica o un messaggio di messaggistica istantanea, per portare gli utenti nel proprio sito Web.

Sintomi 2: vulnerabilità del reindirizzamento degli URL di Exchange

Un autore di un attacco può reindirizzare un utente a un URL arbitrario da un collegamento che sembra provenire da un dominio noto o attendibile.Note

• Per generare il collegamento malintenzionato, un utente malintenzionato deve essere già uno degli utenti autenticati di Exchange ed essere in grado di inviare messaggi di posta elettronica.

• Il collegamento malevolo può essere inviato in un messaggio di posta elettronica, ma l'aggressore deve convincere gli utenti ad aprire il collegamento per sfruttare la vulnerabilità.

Sintomi 3: più vulnerabilità XSS di Outlook Web App

Un utente malintenzionato che sfrutta correttamente queste vulnerabilità può leggere il contenuto che non è autorizzato a leggere. L'utente malintenzionato può anche usare l'identità della vittima per eseguire azioni nel sito di Outlook Web App per conto della vittima, ad esempio per modificare le autorizzazioni, eliminare il contenuto e inserirlo nel browser della vittima.

Causa per i sintomi 1

Questo problema si verifica perché Outlook Web App non convalida correttamente un token di richiesta.

Causa per i sintomi 2

Questo problema si verifica perché Outlook Web App non convalida correttamente i token di reindirizzamento.

Causa per i sintomi 3

Questo problema si verifica perché Exchange Server non convalida correttamente l'input.

Metodo 1: Windows Update

Questo aggiornamento è disponibile in Windows Update.

Metodo 2: catalogo Microsoft Update

Per ottenere il pacchetto autonomo per questo aggiornamento, accedere al sito Web del catalogo Microsoft Update .

Metodo 3: installare un aggiornamento

È consigliabile installare l' aggiornamento cumulativo 7 o un aggiornamento successivo che contiene questa correzione per la sicurezza per Exchange Server 2013.