Microsoft 安全公告 MS05-029

Outlook Web Access for Exchange Server 5.5 中的漏洞可能允许跨站点脚本执行攻击 (895179)

发布日期： 2005 年 6 月 14 日
版本： 1.0

摘要

本文的目标读者： 具有运行 Outlook Web Access for Microsoft Exchange Server 5.5 的服务器的系统管理员

漏洞的影响： 远程执行代码

最高严重等级： 重要

建议： 客户应尽早应用该更新。

安全更新替代： 无

注意事项： 无

此更新的相关组件的版本要求：
为成功地安装此更新，Microsoft Outlook Web Access 服务器必须安装下列其中一项：

•	使用 Windows 2000 Service Pack 3 时安装 Internet Explorer 5.01 Service Pack 3
•	使用 Windows 2000 Service Pack 4 时安装 Internet Explorer 5.01 Service Pack 4
•	使用其他受支持的操作系统时安装 Internet Explorer 6 Service Pack 1

Outlook Web Access 服务器上相关组件的版本建议：
建议在 Outlook Web Access 服务器上使用相关组件的下列版本。

•

Microsoft Internet 信息服务 (IIS)：

•	Windows 2000 Service Pack 3 或更高版本上的 IIS 5.0

•

Microsoft Internet Explorer：

•	Internet Explorer 6.0 Service Pack 1

测试过的软件和安全更新下载位置：

受影响的软件：

•	Microsoft Exchange Server 5.5 Service Pack 4 - 下载此更新

不受影响的软件：

•	2004 年 8 月的 Microsoft Exchange 2000 Server Service Pack 3 及 Exchange 2000 Post-Service Pack 3 更新汇总
•	Microsoft Exchange Server 2003
•	Microsoft Exchange Server 2003 Service Pack 1

有关 Exchange 2000 Server Post-Service Pack 3 更新汇总的详细信息，请参阅 Microsoft 知识库文章 870540。

已对此列表中的软件进行了测试，以确定是否这些版本会受到影响。其他版本或者不再包括安全更新支持，或者可能不会受到影响。要确定产品和版本的技术支持生命周期，请访问 Microsoft 产品技术支持生命周期网站。

Top of section

一般信息

摘要

摘要：

此更新可消除一个秘密报告的新发现漏洞。 Outlook Web Access for Exchange Server 5.5 中存在一个跨站点脚本和欺骗漏洞，此漏洞可能允许攻击者诱使用户运行恶意脚本。本公告的“漏洞详细资料”部分中对此漏洞进行了说明。

成功利用此漏洞的攻击者可能会进行跨站点脚本攻击。

我们建议客户应尽早应用此更新。

严重等级和漏洞标识：

漏洞标识	漏洞的影响	Exchange Server 5.5
Exchange Server Outlook Web Access 漏洞 - CAN-2005-0563	远程执行代码	重要

此评估是基于以下几点作出的：受此漏洞影响的系统类型，它们的典型部署模式，以及利用此漏洞会对它们产生什么影响。

Top of section

与此安全更新相关的常见问题解答 (FAQ)

我仍在使用 Exchange 2000 Service Pack 3。我该怎么办？
使用此版本的客户应优先考虑迁移到受支持的版本，以防止可能会受到新出现漏洞的影响。 2004 年 8 月发布的 Microsoft Exchange 2000 Server Post-Service Pack 3 (SP3) 更新汇总是在 Exchange 2000 上提供支持的预备条件。内部版本号是 6603.1。此更新汇总是在 2004 年 6 月 29 日之后发布、内部版本号大于 6603 的所有 Exchange 2000 Server 更新的必备条件。有关 Exchange Service Pack 产品生命周期的详细信息，请访问 Microsoft 产品技术支持生命周期网站。有关 Exchange 产品生命周期的详细信息，请访问 Microsoft 产品技术支持生命周期网站

在 Windows NT 4.0 上的 Microsoft Exchange Server 5.5 Service Pack 4 的生命周期已经结束。我该怎么办？
Windows NT Server 4.0 Service Pack 6a 的生命周期已经结束。 Exchange Server 5.5 Service Pack 4 的客户应该确保其使用的是 Windows 2000 Server。如果您仍在使用 Windows NT Server 4.0，应该尽快升级。

有关详细信息，请参阅 Windows 操作系统产品支持生命周期常见问题解答。

可否使用 Microsoft Baseline Security Analyzer (MBSA) 确定是否需要此更新？

注 Outlook Web Access for Exchange 5.5 可以安装在 Exchange 服务器上或者作为链接到不同服务器上 Exchange 安装的独立 IIS 应用程序。

MBSA 将确定对于安装了 Outlook Web Access 的 Exchange 5.5 服务器来说，此更新是否是必需的。有关 MBSA 的详细信息，请访问 MBSA 网站。

当在独立的 Internet Information Server (IIS) 上运行时，MBSA 不支持 Outlook Web Access，也不检测在这种情况下是否需要更新。但是，Microsoft 已开发出 Enterprise Update Scanning Tool (EST) 的一个版本，帮助客户确定在这种情况下是否需要安全更新。

可否使用 Systems Management Server (SMS) 确定是否需要此更新？
是。 SMS 可以帮助您检测和部署此安全更新。有关 SMS 的信息，请访问 SMS 网站。检测 Microsoft Windows 及其他受影响的 Microsoft 产品需要 Security Update Inventory Tool。有关 Security Update Inventory Tool 的限制的详细信息，请参阅 Microsoft 知识库文章 306460

有关 SMS 的详细信息，请访问 SMS 网站。

您可以使用 SMS 的清单和软件分发功能部署此更新。

Top of section

漏洞详细资料

Exchange Server Outlook Web Access 漏洞 - CAN-2005-0563：

这是一个跨站点脚本执行漏洞。跨站点脚本漏洞可能允许攻击者诱使用户运行恶意脚本。如果运行此恶意脚本，该脚本将在用户的安全上下文中执行。要试图利用此漏洞，需要进行用户交互。此漏洞可能允许攻击者访问 Outlook Web Access 服务器上只有个别用户才能访问的某些数据。

Exchange Server Outlook Web Access 漏洞 (CAN-2005-0563) 的缓解因素：

•

如果要受到影响，用户必须登录到 Outlook Web Access (OWA)。

•

以下受支持的 Outlook Web Access for Exchange Server 的版本不受影响

•	2004 年 8 月的 Outlook Web Access for Exchange 2000 Server Exchange 2000 Post-Service Pack 3 更新汇总。
•	Outlook Web Access for Exchange Server 2003
•	Outlook Web Access for Exchange Server 2003 Service Pack 1

Top of section

Exchange Server Outlook Web Access 漏洞 (CAN-2005-0563) 的变通方法：

Microsoft 已测试过以下变通办法。尽管这些变通办法不能从根本上消除此漏洞，但它们有助于阻止已知的攻击媒介。如果某种变通办法导致功能下降，下一节中将进行说明。

修改 Read.asp 文件

若要修改 Read.asp 文件，请按照下列步骤执行操作。

注管理员可以修改 Read.asp 文件。

注必须在每个 Outlook Web Access 服务器上执行这些步骤。

1.	在记事本中打开 Read.asp 文件。此文件位于下列文件夹中： C:\Exchsrvr\Webdata\<lang>\Forms\Ipm\Note
2.	找到下列代码行： <%= bstrBody %>
3.	保存该文件。
4.	将该代码行更改为以下内容： <%= Server.HTMLEncode(bstrBody) %>

更改将立即生效。

变通办法的影响：

格式设定为 HTML 的电子邮件无法正确显示。用户将在电子邮件的后面看见原始的 HTML。

为每个 Exchange 站点禁用 Outlook Web Access

若要禁用 Outlook Web Access，请按照下列步骤执行操作。

注必须在每个 Exchange 站点上执行这些步骤。

1. 启动 Exchange Administrator。

2. 展开该站点的“配置”容器。

3. 选择该站点的“协议”容器。

4. 打开“HTTP (Web) 站点设置”对象的属性。

5. 清除“启用协议”复选框。

6. 等待更改进行复制，然后验证此更改是否已复制到站点中的每台服务器。进行此操作的方法是：使用 Exchange Administrator 绑定到站点中的每台服务器，然后查看“启用协议”复选框设置。

变通办法的影响： 用户没有通过 Outlook Web Access 访问其邮箱的权限。

卸载 Outlook Web Access。

有关如何卸载 Outlook Web Access 的信息，请参阅 Microsoft 知识库文章 290287。

变通办法的影响： 用户没有通过 Outlook Web Access 访问其邮箱的权限。

有关如何帮助让您的 Exchange 环境更加安全的详细信息，请访问 Exchange 5.5 安全资源网站。

Top of section

Exchange Server Outlook Web Access 漏洞 (CAN-2005-0563) 的常见问题解答：

此漏洞的影响范围有多大？
这是一个跨站点脚本执行漏洞，攻击者可以使用此漏洞诱使用户运行恶意脚本。如果运行此恶意脚本，该脚本将在用户的安全上下文中执行。要试图利用此漏洞，需要进行用户交互。

该脚本可以在用户的计算机上执行授权该网站执行的任何操作；这可能包括：监视 Web 会话并向第三方转发信息、在用户系统上运行其他代码，以及读/写 cookie。

什么是 Outlook Web Access？
Microsoft Outlook Web Access (OWA) 是 Exchange Server 的一项服务。通过使用 OWA，运行 Exchange Server 的服务器还可以作为网站运行，让授权用户通过 Internet 读取和发送邮件、管理他们的日历和执行其他邮件功能。

造成漏洞的原因是什么？
跨站点脚本执行 (XSS) 漏洞是由 Outlook Web Access (OWA) 在“撰写新邮件”窗体中执行 HTML 编码的方式造成的。

什么是跨站点脚本执行？
跨站点脚本执行 (XSS) 是一个安全漏洞，它允许攻击者将代码“注入”用户与网站的会话中。与大多数安全漏洞不同，XSS 并不针对任何单一供应商的产品，而是会影响所有生成 HTML 的软件以及不遵循防御性编程措施的软件。

跨站点脚本执行的工作方式是怎样的？
网页包含文本和 HTML 标记。文本和 HTML 标记由服务器生成，并由客户端解释。生成静态页面的服务器完全控制着客户端对服务器所发送页面进行解释的方式。但是，生成动态页面的服务器不控制客户端对服务器输出的信息进行解释的方式。如果在动态页面中引入不受信任的内容，服务器和客户端都不会有充足的信息来确认这种情况的发生以及采取保护措施。

攻击者如何利用此漏洞？
攻击者可以通过向用户发送特制的消息利用此漏洞。然后，用户必须使用 Outlook Web Access 打开该消息。这样，该消息可能导致受影响的系统在用户的 Outlook Web Access 会话上下文中运行脚本。

受此漏洞威胁最大的系统有哪些？
通过 Outlook Web Access 访问 Exchange Server 5.5 的客户端系统受此漏洞的威胁最大。

是否所有受支持的 Outlook Web Access 版本都会受到影响？
否。此漏洞仅影响 Outlook Web Access for Exchange Server 5.5。

我应该在哪些 Exchange 服务器上安装此更新？
此更新仅用于运行 Outlook Web Access for Exchange Server 5.5 的服务器。您不需要在没有运行 Outlook Web Access for Exchange Server 5.5 的服务器上安装此更新。但是，我们建议您在所有运行 Exchange 5.5 服务器的其他服务器上安装此安全更新，以便以后将它们指定为 Outlook Web Access 服务器时能够得到保护。

此更新有什么作用？
此更新通过确保对 OWA 脚本参数进行编码以便其无法在意外情况下执行来消除此漏洞。

发布此安全公告时，此漏洞是否已公开披露？
否。 Microsoft 通过可靠的披露渠道了解到有关此漏洞的信息。在最初发布此安全公告时，Microsoft 未收到任何表明此漏洞已公开披露的信息。

在发布此安全公告时，Microsoft 是否收到任何有关此漏洞已被利用的报告？
否。在最初发布此安全公告时，Microsoft 未收到任何表明此漏洞已被公开用于攻击客户的信息，也没有看到任何发布的概念代码证明示例。

Top of section

安全更新信息

受影响的软件：

有关您的受影响软件的特定安全更新信息，请单击相应的链接：

Exchange Server 5.5 Service Pack 4

先决条件
此安全更新要求在 Exchange Server 5.5 Service Pack 4 上的 Outlook Web Access。

包括在将来的 Service Pack 中：
此问题的更新程序将包含在以后的 Service Pack 或更新汇总中

安装信息

有关可以使用哪些命令选项应用此更新的详细信息，请参阅 Microsoft 知识库文章 257946。

部署信息

对于 Exchange Server 5.5 Service Pack 4，若要在没有任何用户干预的情况下安装此安全更新，请在命令提示符处使用以下命令：

•	Exchange5.5-KB895179.EXE

重新启动要求

此更新不需要重新启动。但是，当您安装更新程序时，Microsoft Internet 信息服务 (IIS)、Exchange 存储和 Exchange 系统助理服务将会重新启动。因此，请在没有用户通过 Outlook Web Access 进行登录时安装此更新。

删除信息

若要删除此更新，请使用“控制面板”中的“添加/删除程序”工具，或者在控制台窗口中使用以下命令：

%EXCHSRVR%\895179\UNINSTALL\UNINST.EXE

文件信息：

此安全更新的英文版具有下表所列的文件属性。这些文件的日期和时间以协调世界时 (UTC) 列出。当您查看文件信息时，它将转换为本地时间。要了解 UTC 与本地时间之间的时差，请使用“控制面板”上的“日期/时间”工具中的“时区”选项卡。

Exchange Server 5.5 Service Pack 4：

文件名	版本	日期	时间	大小
Cdohtml.dll	5.5.2658.34	2005 年 4 月 16 日	19:34	537,360
Htmlsnif.dll	6.5.6582.0	2002 年 11 月 15 日	18:41	57,344
Safehtml.dll	6.5.7547.0	2005 年 4 月 7 日	17:45	201,728
Cdo.dll	5.5.2658.34	2005 年 4 月 16 日	19:37	807,184

验证是否已应用更新

•

Microsoft Baseline Security Analyzer

要验证受影响的系统上是否应用了安全更新，可以使用 Microsoft Baseline Security Analyzer (MBSA) 工具。管理员可以使用 MBSA ，在本地和远程系统中扫描缺少的安全更新和常见的安全配置错误。有关 MBSA 的详细信息，请访问 Microsoft Baseline Security Analyzer 网站。

•

文件版本验证

注由于 Microsoft Windows 有多个版本，因此以下步骤在您的计算机上可能会有所不同。如果不同，请参阅产品文档来完成这些步骤。

1.	单击“开始”，然后单击“搜索”。
2.	在“搜索结果”窗格中，单击“搜索助理”下的“所有文件和文件夹”。
3.	在“完整或部分文件名”框中，键入相应文件信息表中的一个文件名，然后单击“搜索”。
4.	在文件列表中，右键单击相应文件信息表中的一个文件名，然后单击“属性”。注取决于安装的操作系统或程序的版本，文件信息表中所列的某些文件可能并未安装。
5.	在“版本”选项卡上，通过将计算机上安装的文件与相应文件信息表中记录的版本进行比较来确定该文件的版本。注在安装过程中，除文件版本以外的其他属性均可能会发生变化。不支持通过将其他文件属性与文件信息表中的信息进行比较这种方法来验证是否应用了更新。另外，在某些情况下，在安装过程中还可能会重命名文件。如果没有文件或版本信息，请使用另外一种方法来验证更新安装。

•	注册表项验证也可以通过查看以下注册表项，检查此安全更新已安装的文件： HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Exchange Server 5.5\SP5\895179 注此注册表项可能不包含已安装文件的完整列表。另外，如果管理员或 OEM 将 895179 安全更新集成或组合到 Windows 安装源文件中，则可能无法正确创建此注册表项。

Top of section

鸣谢

Microsoft 感谢下列人员或组织与我们一起致力于保护客户的利益：

•	iDEFENSE 的 Gaël Delalleau 报告了 Exchange Server Outlook Web Access 漏洞 (CAN-2005-0563)。

获取其他安全更新：

可从以下位置获得针对其他安全问题的更新：

•	Microsoft 下载中心提供了安全更新。通过搜索关键字“security_patch”，可以非常方便地找到这些更新。
•	有关客户平台的更新可从 Windows Update 网站获得。

支持：

•	美国和加拿大的客户可拨打电话 1-866-PCSAFETY，从 Microsoft 产品支持服务获得技术支持。与安全更新有关的电话支持服务是免费的。
•	其他国家（或地区）的客户可从当地的 Microsoft 分公司获得支持。与安全更新有关的支持服务不收取任何费用。有关如何就支持问题与 Microsoft 取得联系方面的详细信息，请访问国际支持网站。

安全资源：

•	Microsoft TechNet Security 网站提供了有关 Microsoft 产品安全的详细信息。
•	Microsoft Software Update Services
•	Microsoft Baseline Security Analyzer (MBSA)
•	Windows Update
•	Windows Update 目录：有关 Windows Update 目录的详细信息，请参阅 Microsoft 知识库文章 323166。
•	Office Update

Software Update Services:

通过使用 Microsoft Software Update Services (SUS)，管理员可以在基于 Windows 2000 和 Windows Server 2003 的服务器以及运行 Windows 2000 Professional 或 Windows XP Professional 的台式机系统上快速而可靠地部署最新的重要更新和安全更新。

有关如何使用软件更新服务部署此安全更新的详细信息，请访问软件更新服务网站。

Systems Management Server：

Microsoft Systems Management Server (SMS) 提供了一个用于管理更新且可高度配置的企业解决方案。通过使用 SMS，管理员可以确定需要安全更新的基于 Windows 的系统，并在整个企业中以可控制的方式执行这些更新的部署，而只对最终用户造成最低程度的干扰。有关管理员如何使用 SMS 2003 来部署安全更新的详细信息，请访问 SMS 2003 安全修补程序管理网站。 SMS 2.0 用户还可以使用 Software Updates Service Feature Pack 帮助部署安全更新。有关 SMS 的信息，请访问 SMS 网站。

注 SMS 使用 Microsoft Baseline Security Analyzer、Microsoft Office Detection Tool 和 Enterprise Update Scanning Tool 为安全公告更新检测和部署提供广泛支持。这些工具可能检测不到某些软件更新。在这些情况下，管理员可以使用 SMS 的清单功能将更新部署到特定系统上。有关此过程的详细信息，请访问以下网站。某些安全更新在重新启动系统后可能需要管理权限。管理员可以使用 Elevated Rights Deployment Tool（在 SMS 2003 Administration Feature Pack 和 SMS 2.0 Administration Feature Pack 中提供）安装这些更新。

免责声明：

Microsoft 知识库中的信息“按原样”提供，没有任何形式的担保。 Microsoft 不作任何明示或暗示保证，包括对适销性和针对特定目的的适用性的保证。 Microsoft Corporation 或其供应商不对任何损害（包括直接的、间接的、偶然的、必然的损害，商业利润损失，或特殊损害）承担任何责任，即使 Microsoft Corporation 或其供应商事先已被告知有可能发生此类损害。有些州不允许排除或限制必然或偶然损害的赔偿责任，因此上述限制可能不适用。

修订版本：

•	V1.0（2005 年 6 月 14 日）：已发布公告

返回页首