Microsoft-beveiligingsbulletin MS07-026

Microsoft heeft een aantal methoden getest om het probleem te omzeilen. Het probleem wordt er niet door verholpen, maar bekende aanvalsvectoren kunnen ermee worden geblokkeerd. Wanneer de functionaliteit wordt beperkt door een oplossing, wordt dat aangegeven in het volgende gedeelte.

Wat is de omvang van het beveiligingslek?
Er is een beveiligingslek waardoor een aanvaller een script van een aanvaller kan uitvoeren. Als dit script wordt uitgevoerd, gebeurt dit binnen de beveiligingscontext van de OWA-gebruiker op het clientsysteem. Door het script kan elke actie op de computer van de gebruiker worden uitgevoerd die ook door de website kan worden uitgevoerd. Deze acties zijn onder andere het controleren van wat de gebruiker op het web doet en het doorsturen van gegevens van de gebruiker naar een derde, uitvoeren van andere code op het systeem van de gebruiker en het lezen of schrijven van cookies.

Waardoor wordt het beveiligingslek veroorzaakt?
Door een verkeerd verwerkt label met een UTF-tekenset in Outlook Web Access kunnen niet-geautoriseerde scripts worden uitgevoerd.

Wat is Outlook Web Access?
Microsoft Outlook Web Access (OWA) is een service van Exchange Server. Een server waarop Exchange Server wordt uitgevoerd, kan met OWA functioneren als een website waarop gemachtigde gebruikers e-mail kunnen lezen en verzenden, hun agenda kunnen beheren en andere e-mailfuncties kunnen uitvoeren via internet.

Met welk doel kan een aanvaller het beveiligingslek misbruiken?
Een aanvaller die misbruik weet te maken van dit beveiligingslek, kan toegang krijgen tot de Outlook Web Access-sessie in de beveiligingscontext van de desbetreffende gebruiker. De aanvaller zou dan namens de aangemelde gebruiker bestanden kunnen wijzigen, verwijderen, e-mailberichten doorsturen of andere acties uitvoeren.

Hoe kan een aanvaller dit beveiligingslek misbruiken?
Een aanvaller kan misbruik maken van het beveiligingslek door een speciaal gemaakt bestand per e-mail naar de gebruiker te versturen en de gebruiker ertoe zien te bewegen dat bestand in een geautoriseerde OWA-sessie te openen.

Voor welke systemen vormt dit beveiligingslek het grootste risico?
Vooral voor gebruikers die met Microsoft Exchange Outlook Web Access e-mailberichten lezen.

Wat doet de update?
De update verwijdert het beveiligingslek door de wijze te veranderen waarop door Outlook Web Access met UTF gecodeerde bijlagen worden verwerkt.

Was dit beveiligingslek openbaar gemaakt op het moment dat dit beveiligingsbulletin werd uitgegeven?
Nee. Microsoft heeft uit discrete bronnen informatie over dit beveiligingslek ontvangen. Microsoft heeft geen informatie ontvangen die erop wees dat dit beveiligingslek openbaar was gemaakt op het moment dat dit beveiligingsbulletin oorspronkelijk werd uitgegeven.

Is aan Microsoft gerapporteerd dat er misbruik is gemaakt van dit beveiligingslek voordat dit beveiligingsbulletin werd uitgegeven?
Nee. Microsoft beschikte niet over informatie dat dit beveiligingslek was gebruikt voor aanvallen op klanten en had geen voorbeelden van gepubliceerde conceptcode gezien als bewijs toen dat dit beveiligingsbulletin oorspronkelijk werd uitgegeven.

We hebben nog geen oplossingen voor dit beveiligingslek.

Microsoft heeft een aantal methoden getest om het probleem te omzeilen. Het probleem wordt er niet door verholpen, maar bekende aanvalsvectoren kunnen ermee worden geblokkeerd. Wanneer de functionaliteit wordt beperkt door een oplossing, wordt dat aangegeven in het volgende gedeelte.

Wat is de omvang van het beveiligingslek?
Dit beveiligingslek heeft betrekking op een denial of service. Een aanvaller die dit beveiligingslek weet te misbruiken, kan ervoor zorgen dat de e-mailservice niet meer reageert op een Microsoft Exchange-server. Gedurende die tijd kan de Exchange-server niet reageren op aanvragen van gebruikers voor het openen, verzenden en ontvangen van e-mail. De Microsoft Exchange Information Store-service moet opnieuw opgestart voordat deze weer normaal functioneert.

Waardoor wordt het beveiligingslek veroorzaakt?
Bepaalde iCal-eigenschappen in e-mailberichten worden niet goed verwerkt door de EXCDO-functionaliteit in Exchange Server.

Wat is EXCDO?
Exchange Collaboration Data Objects (EXCDO) is een interface waarmee bepaalde typen informatie in de Exchange-opslag kunnen worden verwerkt.

Wat is iCAL?
Internet Calendar (iCAL) is een type MIME-inhoud dat wordt gebruikt door Microsoft Exchange Server en e-mailclients bij het verzenden en uitwisselen van kalender- en planninggegevens.

Met welk doel kan een aanvaller het beveiligingslek misbruiken?
Een aanvaller die dit beveiligingslek weet te misbruiken, kan ervoor zorgen dat de e-mailservice niet meer reageert op een Microsoft Exchange-server. Gedurende die tijd kan de Exchange-server niet reageren op aanvragen van gebruikers voor het openen, verzenden en ontvangen van e-mail. De Microsoft Exchange Information Store-service moet opnieuw opgestart voordat deze weer normaal functioneert.

Hoe kan een aanvaller dit beveiligingslek misbruiken?
Een aanvaller zou kunnen proberen misbruik van het beveiligingslek te maken door een speciaal vervaardigd iCal-bestand te maken en een e-mailbericht met dat bestand te versturen naar een gebruikersaccount die voor een Microsoft Exchange-server is geconfigureerd. Een aanvaller die dit beveiligingslek weet te misbruiken, kan ervoor zorgen dat de e-mailservice niet meer reageert.

Voor welke systemen vormt dit beveiligingslek het grootste risico?
Voor Microsoft Exchange-servers vormt dit beveiligingslek het grootste risico.

Wat doet de update?
De update dicht het beveiligingslek door wijzigingen aan te brengen in de wijze waarop berichten met iCAL--eigenschappen door Exchange Server worden verwerkt.

Was dit beveiligingslek openbaar gemaakt op het moment dat dit beveiligingsbulletin werd uitgegeven?
Nee. Microsoft heeft uit discrete bronnen informatie over dit beveiligingslek ontvangen. Microsoft heeft geen informatie ontvangen die erop wees dat dit beveiligingslek openbaar was gemaakt op het moment dat dit beveiligingsbulletin oorspronkelijk werd uitgegeven.

Is aan Microsoft gerapporteerd dat er misbruik is gemaakt van dit beveiligingslek voordat dit beveiligingsbulletin werd uitgegeven?
Nee. Microsoft beschikte niet over informatie dat dit beveiligingslek was gebruikt voor aanvallen op klanten en had geen voorbeelden van gepubliceerde conceptcode gezien als bewijs toen dat dit beveiligingsbulletin oorspronkelijk werd uitgegeven.

We hebben nog geen oplossingen voor dit beveiligingslek.

Microsoft heeft een aantal methoden getest om het probleem te omzeilen. Het probleem wordt hiermee niet verholpen, maar bekende aanvalsvectoren kunnen ermee worden geblokkeerd. Wanneer de functionaliteit wordt beperkt door een oplossing, wordt dat aangegeven in het volgende gedeelte.

Wat is de omvang van het beveiligingslek?
Dit beveiligingslek heeft betrekking op de uitvoering van externe code. Een aanvaller die misbruik weet te maken van dit beveiligingslek, kan op afstand volledige controle krijgen over een kwetsbaar systeem. De aanvaller kan vervolgens programma's installeren, gegevens bekijken, wijzigen of wissen, of nieuwe accounts met volledige gebruikersrechten maken.

Waardoor wordt het beveiligingslek veroorzaakt?
Door speciaal vervaardigde inhoud die met Base64 is gecodeerd, en die niet op de juiste manier door Microsoft Exchange wordt verwerkt.

Wat is MIME?
MIME is de afkorting van Multipurpose Internet Mail Extensions, een protocol voor het definiëren van bestandsbijlagen voor het web.

Met welk doel kan een aanvaller het beveiligingslek misbruiken?
Een aanvaller die misbruik weet te maken van dit beveiligingslek, kan volledige controle krijgen over het systeem waarop dit probleem voorkomt. De aanvaller kan vervolgens programma's installeren, gegevens bekijken, wijzigen of wissen, of nieuwe accounts met volledige gebruikersrechten maken.

Hoe kan een aanvaller dit beveiligingslek misbruiken?
Een aanvaller kan misbruik maken van dit beveiligingslek door een speciaal vervaardigd e-mailbericht naar een Microsoft Exchange Server-gebruikersaccount te versturen. Een aanvaller die misbruik weet te maken van dit beveiligingslek, kan volledige controle krijgen over een systeem waarin dit probleem optreedt.

Voor welke systemen vormt dit beveiligingslek het grootste risico?
Voor Microsoft Exchange-servers vormt dit beveiligingslek het grootste risico.

Wat doet de update?
Met de update wordt het beveiligingslek verwijderd doordat de manier wordt gewijzigd waarop Exchange Server berichten verwerkt die met Base64 zijn gecodeerd.

Was dit beveiligingslek openbaar gemaakt op het moment dat dit beveiligingsbulletin werd uitgegeven?
Nee. Microsoft heeft uit discrete bronnen informatie over dit beveiligingslek ontvangen. Microsoft heeft geen informatie ontvangen die erop wees dat dit beveiligingslek openbaar was gemaakt op het moment dat dit beveiligingsbulletin oorspronkelijk werd uitgegeven.

Is aan Microsoft gerapporteerd dat er misbruik is gemaakt van dit beveiligingslek voordat dit beveiligingsbulletin werd uitgegeven?
Nee. Microsoft beschikte niet over informatie dat dit beveiligingslek was gebruikt voor aanvallen op klanten en had geen voorbeelden van gepubliceerde conceptcode gezien als bewijs toen dat dit beveiligingsbulletin oorspronkelijk werd uitgegeven.

Microsoft heeft een aantal methoden getest om het probleem te omzeilen. Het probleem wordt er niet door verholpen, maar bekende aanvalsvectoren kunnen ermee worden geblokkeerd. Wanneer de functionaliteit wordt beperkt door een oplossing, wordt dat aangegeven in het volgende gedeelte.

sc stop IMAP4svc
sc config IMAP4svc start= disabled

Wat is de omvang van het beveiligingslek?
Dit beveiligingslek heeft betrekking op een denial of service. Een aanvaller die dit beveiligingslek weet te misbruiken, kan ervoor zorgen dat de e-mailservice niet meer reageert op een Microsoft Exchange-server. Gedurende die tijd kan de Exchange-server niet reageren op aanvragen van gebruikers voor het openen, verzenden en ontvangen van e-mail. De IIS Admin Service-service moet opnieuw worden opgestart voordat deze weer normaal functioneert.

Waardoor wordt het beveiligingslek veroorzaakt?
Het beveiligingslek wordt veroorzaakt door het verkeerd verwerken van een opdracht in de IMAP-service.

Wat is IMAP?
IMAP is de afkorting van Internet Message Access Protocol. IMAP is een e-mailprotocol waarmee Exchange en andere e-mailprogramma's berichten uitwisselen. Met IMAP kunnen taken worden uitgevoerd, onder andere het maken van mappen en het opzoeken van e-mailberichten.

Met welk doel kan een aanvaller het beveiligingslek misbruiken?
Een aanvaller die dit beveiligingslek weet te misbruiken, kan ervoor zorgen dat de e-mailservice niet meer reageert op een Microsoft Exchange-server. Gedurende die tijd kan de Exchange-server niet reageren op aanvragen van gebruikers voor het openen, verzenden en ontvangen van e-mail. De IIS Admin Service-service moet opnieuw worden opgestart voordat deze weer normaal functioneert.

Hoe kan een aanvaller dit beveiligingslek misbruiken?
Een aanvaller kan misbruik maken van dit beveiligingslek door een speciaal vervaardigde IMAP-opdracht te versturen naar een Microsoft Exchange-server die als een IMAP-server is geconfigureerd. Een aanvaller die dit beveiligingslek weet te misbruiken, kan ervoor zorgen dat de e-mailservice niet meer reageert.

Voor welke systemen vormt dit beveiligingslek het grootste risico?
De beveiligingsupdate is bedoeld voor elke getroffen en ondersteunde Microsoft Exchange-server. Servers die als host optreden voor IMAP-services, lopen het meeste risico.

Wat doet de update?
Met de update wordt het beveiligingslek verwijderd door de manier te wijzigen waarop Exchange Server IMAP-opdrachten valideert.

Was dit beveiligingslek openbaar gemaakt op het moment dat dit beveiligingsbulletin werd uitgegeven?
Nee. Microsoft heeft uit discrete bronnen informatie over dit beveiligingslek ontvangen. Microsoft heeft geen informatie ontvangen die erop wees dat dit beveiligingslek openbaar was gemaakt op het moment dat dit beveiligingsbulletin oorspronkelijk werd uitgegeven.

Is aan Microsoft gerapporteerd dat er misbruik is gemaakt van dit beveiligingslek voordat dit beveiligingsbulletin werd uitgegeven?
Nee. Microsoft beschikte niet over informatie dat dit beveiligingslek was gebruikt voor aanvallen op klanten en had geen voorbeelden van gepubliceerde conceptcode gezien als bewijs toen dat dit beveiligingsbulletin oorspronkelijk werd uitgegeven.