Triệu chứng
Các triệu chứng 1: lỗi giả mạo token trong Outlook Web App
Lỗ hổng giả mạo mã thông báo tồn tại trong Microsoft Exchange Server. Nó có thể cho phép kẻ tấn công gửi thư email dường như đến từ một nguồn đáng tin cậy và các thư chứa liên kết đến một trang web của kẻ tấn công. Trong kịch bản tấn công dựa trên web, một kẻ tấn công có thể lưu trữ một Website được dùng để thử khai thác lỗ hổng này. Ngoài ra, các trang web và trang web bị xâm phạm, chấp nhận hoặc lưu trữ nội dung hoặc quảng cáo được cung cấp cho người dùng có thể chứa nội dung đặc biệt crafted có thể khai thác lỗ hổng này. Tuy nhiên, trong hầu hết mọi trường hợp, kẻ tấn công không thể buộc người dùng xem nội dung kẻ tấn công kiểm soát. Thay vào đó, một kẻ tấn công sẽ phải thuyết phục người dùng có hành động, thông thường bằng cách bấm vào một nối kết trong thư email hoặc tin nhắn Messenger tức thì để đưa người dùng đến trang web của họ.
Các triệu chứng 2: lỗ hổng chuyển hướng URL của Exchange
Kẻ tấn công có thể chuyển hướng người dùng đến một URL tùy ý từ một nối kết mà dường như có nguồn gốc từ tên miền đã biết hoặc tin cậy.Lưu ý́
-
Để tạo liên kết độc hại, kẻ tấn công phải là người dùng Exchange đã xác thực và có thể gửi thư email.
-
Có thể gửi liên kết độc hại trong email, nhưng kẻ tấn công sẽ phải thuyết phục người dùng mở nối kết để khai thác lỗ hổng.
Các triệu chứng 3: nhiều lỗ hổng XSS trong Outlook Web App
Kẻ tấn công thành công khai thác các lỗ hổng này có thể đọc nội dung mà người đó không được ủy quyền đọc. Kẻ tấn công cũng có thể sử dụng danh tính của nạn nhân để thực hiện các hành động trên site Outlook Web App thay mặt cho các nạn nhân, chẳng hạn như thay đổi quyền, xóa nội dung và tiêm các nội dung độc hại trong trình duyệt của nạn nhân.
Nguyên nhân
Nguyên nhân cho các triệu chứng 1
Sự cố này xảy ra vì Outlook Web App không xác nhận đúng mã thông báo yêu cầu.
Nguyên nhân cho các triệu chứng 2
Sự cố này xảy ra vì Outlook Web App không xác thực đúng các thẻ chuyển hướng.
Nguyên nhân cho các triệu chứng 3
Sự cố này xảy ra vì Exchange Server không xác thực đúng vào đầu vào.
Giải pháp
Phương pháp 1: Windows Update
Bản cập nhật này hiện đã có trên Windows Update.
Phương pháp 2: danh mục Microsoft Update
Để lấy gói độc lập cho bản cập nhật này, hãy đi đến trang web Microsoft Update Catalog .
Phương pháp 3: cài đặt bản Cập Nhật
Chúng tôi khuyên bạn nên cài đặt bản Cập Nhật tích lũy 7 hoặc bản Cập Nhật sau này có chứa bản sửa lỗi bảo mật này cho Exchange Server 2013.
Trạng thái
Microsoft đã xác nhận đây là sự cố trong các sản phẩm của Microsoft được liệt kê trong phần "Áp dụng cho".
