Wie jetzt bekannt wurde, ist von der bereits beschriebenen Schwachstelle im Exchange 2000 Outlook Web Access (OWA) auch Exchange 5.5 betroffen. Ferner war der von Microsoft veröffentlichte Patch für Exchange 2000 fehlerhaft. Microsoft stellt nun einen korrigierten Patch zur Verfügung.

Betroffene Systeme

• Microsoft Exchange 5.5 Server Outlook Web Access (OWA)
• Microsoft Exchange 2000 Server Outlook Web Access (OWA)

Typ der Verwundbarkeit
Designschwäche (design flaw):
Bei Benutzung von OWA mittels IE finden keine Sicherheitsüberprüfungen eventuell vorhandener Attachments statt.

Auswirkung
Beim Öffnen von Attachments (mittels dem IE und OWA) kann beliebiger Programmcode mit den Privilegien des Benutzers ausgeführt werden.

Gefahrenpotential
mittel
(Hinweise zur Einstufung des Gefahrenpotentials.)

Beschreibung (Wiederholung)
Der Microsoft Exchange 5.5/2000 Outlook Web Access (OWA) Dienst erlaubt webbasierten Zugriff auf die Exchange Mailbox. Es existiert eine Schwachstelle im Zusammenspiel des OWA Dienstes und dem Internet Explorer beim Öffnen von Attachments. Durch diese Schwachstelle kann beim Öffnen von arglistigen Attachments, die HTML Code (und darin enthaltener Scriptcode) beinhalten, ohne weitere Warnung (bzw. Dialogbox) bösartiger Programmcode ausgeführt werden. Der Programmcode würde mit den Privilegien des Benutzers ausgeführt und könnte beispielsweise Manipulationen an der Mailbox des Benutzers durchführen.

Diese Schwachstelle kann von einem Angreifer nur dann ausgenutzt werden, falls der Benutzer für seinen webbasierten Zugriff auf Exchange 5.5/2000 Server (Outlook Web Access) den Internet Explorer einsetzt. Bei der Verwendung von anderen Webbrowsern und OWA tritt diese Schwachstelle nicht auf.

Gegenmaßnahmen
Der von Microsoft zuerst veröffentlichte Patch für Exchange 2000 ist fehlerhaft. Es wird angeraten den korrigierten Patch zu installieren.

• Microsoft Exchange Server 5.5:
  http://www.microsoft.com/Downloads/Release.asp?ReleaseID=30568
• Microsoft Exchange Server 2000:
  http://www.microsoft.com/Downloads/Release.asp?ReleaseID=30569

Weitere Artikel zu diesem Thema:

• [MS/Exchange] Schwachstelle im MS Exchange 5.5 Server OWA (2001-12-07)
  Durch eine Schwachstelle im Outlook Web Access (OWA) Dienst des Microsoft Exchange 5.5 Servers kann beliebiger, in HTML-E-Mails enthaltener Scriptcode bei der Betrachtung mit dem Microsoft IE ausgeführt werden.
• [MS/Exchange] Erneut fehlerhafter Patch für Exchange 2000 Server (2001-06-15)
  Der bereits korrigierte Patch zur Beseitigung der Schwachstelle im Microsoft Exchange 2000 Server Outlook Web Access (OWA) ist erneut fehlerhaft. Microsoft stellt abermals eine korrigierte Version des Patch zur Verfügung.
• [MS/Exchange] Schwachstelle im Exchange 2000 Server Outlook Web Access (2001-06-07)
  Durch eine Schwachstelle im Zusammenspiel des Outlook Web Access (OWA) Dienstes von Microsoft Exchange 2000 Servern und dem Internet Explorer, kann beim Öffnen von Attachments darin enthaltener HTML Code (der Scriptcode beinhalten kann) ausgeführt werden.

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2022 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/