Durch eine Schwachstelle im Outlook Web Access (OWA) Dienst des Microsoft Exchange 5.5 Servers kann beliebiger, in HTML-E-Mails enthaltener Scriptcode bei der Betrachtung mit dem Microsoft IE ausgeführt werden.

Betroffene Systeme

• Microsoft Exchange 5.5 Server mit OWA (Outlook Web Access)

Einfallstor
Betrachtung einer HTML-E-Mail mit dem IE auf Exchange 5.5 Servern mit OWA

Auswirkung
Beliebiger in der HTML-E-Mail beinhalteter Scriptcode wird mit den Privilegien des Benutzers ausgeführt, wodurch Zugriffe auf die Exchange-Mailbox (Mails versenden, löschen, ...) möglich sind.

Typ der Verwundbarkeit
design flaw

Gefahrenpotential
mittel bis hoch
(Hinweise zur Einstufung des Gefahrenpotentials.)

Beschreibung
Der Microsoft Exchange 5.5 Outlook Web Access (OWA) Dienst erlaubt webbasierten Zugriff auf die Exchange Mailbox.

Im Zusammenspiel des Microsoft Internet Explorers und Outlook Web Access (OWA) auf Exchange 5.5 Servern existiert eine Schwachstelle, die bewirkt, daß in HTML-E-Mails beinhalteter Scriptcode beim Öffnen von Nachrichten ausgeführt werden kann. Der Scriptcode wird dabei mit den Privilegien des Anwenders ausgeführt und hat beispielsweise Zugriff auf die Mailbox des Anwenders, wodurch E-Mails versandt, verschoben oder gelöscht werden können.

Outlook Web Access (OWA) setzt die Aktivierung von Active Scripting voraus, wodurch Deaktivierung von Scriptcode nicht möglich ist.

Gegenmaßnahmen
Microsoft stellt einen Patch zur Verfügung:

• Microsoft Exchange 5.5:
  http://www.microsoft.com/Downloads/Release.asp?ReleaseID=34402

Vulnerability ID

• CAN-2001-0726

Weitere Information zu diesem Thema

• Specially Formed Script in HMTL Mail can Execute in Exchange 5.5 OWA

Weitere Artikel zu diesem Thema:

• [MS/Exchange] Probleme durch OWA-Patch (aus MS01-057) (2001-12-09)
  Der Patch für die zuletzt beschriebene Schwachstelle im Microsoft Exchange Server 5.5 OWA verursacht bei Systemen mit installiertem Internet Explorer vor Version 5.0 nicht näher beschriebene Probleme.
• [MS/Exchange] Erneut fehlerhafter Patch für Exchange 2000 Server (2001-06-15)
  Der bereits korrigierte Patch zur Beseitigung der Schwachstelle im Microsoft Exchange 2000 Server Outlook Web Access (OWA) ist erneut fehlerhaft. Microsoft stellt abermals eine korrigierte Version des Patch zur Verfügung.
• [MS/Exchange] Schwachstelle im Exchange 5.5/2000 Server OWA (2001-06-09)
  Wie jetzt bekannt wurde, ist von der bereits beschriebenen Schwachstelle im Exchange 2000 Outlook Web Access (OWA) auch Exchange 5.5 betroffen. Ferner war der von Microsoft veröffentlichte Patch für Exchange 2000 fehlerhaft. Microsoft stellt nun einen korrigierten Patch zur Verfügung.

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2022 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/