Exchange 安全更新（2017 年 9 月）

medium Nessus 插件 ID 103139

语言：

简介

远程主机上安装的 Microsoft Exchange Server 受到多个漏洞的影响。

描述

远程主机上安装的 Microsoft Exchange Server 缺少安全更新。因此，该服务器受到多个漏洞的影响：

- Microsoft Exchange Outlook Web Access (OWA) 未正确处理 Web 请求时，存在权限提升漏洞。成功利用此漏洞的攻击者可执行脚本或内容注入攻击，并试图欺骗用户披露敏感信息。为利用此漏洞，攻击者会向用户发送包含恶意链接的特制电子邮件消息。此外，攻击者可利用社会工程学聊天客户端，诱使用户点击恶意链接。此安全更新通过更正 Microsoft Exchange 验证 Web 请求的方式修复漏洞。注意：若要利用此漏洞，用户必须点击攻击者恶意构建的链接。(CVE-2017-8758)

- Microsoft Exchange 中存在输入清理问题，可能会导致意外信息泄露。成功利用此漏洞的攻击者可识别 Internet 客户端的本地网络中是否存在 RFC1918 地址。攻击者可将此内部主机信息作为更大攻击的一部分。为利用此漏洞，攻击者可以在发送给 Exchange 服务器的与日历相关的消息中添加特制标签。这些特别标记的消息可提醒 Exchange 服务器从内部服务器获取信息。通过观察这些请求遥测，客户端可以辨别 Internet 上意在隐藏的内部主机属性。更新更正了 Exchange 分析与日历相关消息的方式。(CVE-2017-11761)