Microsoft 安全性公告 MS04-026
Exchange Server 5.5 Outlook Web Access 中的弱點可能會允許跨網站指令碼和偽造攻擊 (842436)
發佈日期： 2004 年 8 月 11 日
版本： 1.0
摘要
應該閱讀此文件的對象：伺服器要執行 Microsoft® Exchange Server 5.5 Outlook® Web Access 的系統管理員
此弱點的影響：遠端執行程式碼
最高的嚴重性等級：中度
建議：客戶應考慮安裝此安全性更新程式。
安全性更新取代資訊：此更新程式取代 Microsoft 安全性公告 MS03-047 中所提供的安全性更新程式。
警告：客戶如果曾經自訂本文件「檔案資訊」部份所列出的任何動態伺服器網頁 (Active Server Page，ASP)，在套用此更新程式之前應該先備份這些檔案，因為在套用更新程式之後將會覆寫這些 ASP 網頁。您必須對新的 ASP 網頁重新進行自訂的作業。
此更新程式相關元件的版本需求：
若要成功安裝這個更新程式，Microsoft Outlook Web Access 伺服器需要：使用 Windows 2000 SP3 必須安裝 Internet Explorer 5.01 Service Pack 3 (SP3)；使用 using Windows 2000 SP4 必須安裝 Internet Explorer 5.01 SP4；使用其他支援的系統，則必須安裝 Internet Explorer 6 SP1。
Outlook Web Access Server 上相關元件的版本建議：
目前 Outlook Web Access 伺服器上的相關元件建議使用以下版本：
| • | Microsoft Internet Information Services (IIS)：
| ||||
| • | Microsoft Internet Explorer：
|
已測試軟體及安全性更新下載位置：
受影響的軟體：
| • | Microsoft Exchange Server 5.5 SP4 |
不受影響的軟體：
| • | Microsoft Exchange 2000 Server |
| • | Microsoft Exchange Server 2003 |
受影響的元件：
| 產品名稱 | 英文版 | 中文版 |
Outlook Web Access |
本清單所列出之軟體版本已經過測試以判斷是否受到影響。其他版本已不再包含安全性更新支援，或是並不會受到影響。請瀏覽 Microsoft 技術支援週期網站，以瞭解您的產品及版本的支援生命週期。Outlook Web Access for Exchange Server 5.0 的支援已經結束。
一般資訊
提要 |
與本安全性更新相關的常見問題集 (FAQ) |
弱點詳細資料 |
跨網站指令碼和偽造弱點 - CAN-2004-0203： |
這是一個跨網站指令碼和偽造弱點。此弱點可能允許攻擊者以欺騙的方式，讓使用者執行惡意指令碼。如果執行了此惡意指令碼，它將會在使用者的安全性內容中執行。嘗試利用這項弱點需要使用者的互動。此弱點可能允許攻擊者存取 Outlook Web Access 伺服器上個別使用者所能存取的任何資料。
一旦攻擊者成功地利用了這項弱點，就可以變更 Web 瀏覽器的快取和中繼 Proxy 伺服器的快取，並且將偽造的內容放入這些快取中。攻擊者也可以利用這項弱點來執行跨網站指令碼攻擊。
跨網站指令碼和偽造弱點 - CAN-2004-0203 的緩和因素： |
跨網站指令碼和偽造弱點 - CAN-2004-0203 替代解決方案： |
跨網站指令碼和偽造弱點 - CAN-2004-0203 的常見問題集： |
安全性更新資訊 |
感謝：
Microsoft 感謝下列人士協助我們一同保護我們的客戶：
| • | Sanctum Inc 的 Amit Klein 將「跨網站指令碼和偽造弱點 (CAN-2004-0203)」傳達給我們。 |
取得其他安全性更新：
其他安全性議題的更新可由下列地點取得：
| • | 安全性更新可以從 Microsoft 下載中心取得：您也可以利用 "security_patch" 關鍵字搜尋輕易地找到安全性更新。 |
| • | 使用者平台的更新程式可以從 Windows Update 網站取得。 |
支援：
| • | 美國及加拿大地區客戶可電洽 1-866-PCSAFETY 以取得 Microsoft 技術支援。與安全性更新有關的支援電話不另外收費。 |
| • | 不同國家的客戶，可以從當地的 Microsoft 分公司取得支援。與安全性更新有關的支援電話不另外收費。如需如何連絡 Microsoft 技術支援的詳細資訊，可以從世界各地技術支援網站取得。 |
安全性資源：
| • | Microsoft TechNet 安全性網站提供了有關 Microsoft 產品安全性的其他資訊。 |
| • | |
| • | |
| • | |
| • | Windows Update 目錄：如需有關 Windows Update 目錄的詳細資訊，請參閱 Microsoft 知識庫文件編號 323166。 |
| • |
軟體更新服務：
Microsoft Software Update Services (SUS) 能讓系統管理員以迅速可靠的方式，針對 Windows 2000 和 Windows Server 2003 伺服器以及執行 Windows 2000 Professional 或 Windows XP Professional 的桌面系統，部署最新的重要更新程式及安全性更新程式。
如需如何透過「軟體更新服務」部署這個安全性更新的詳細資訊，請瀏覽軟體更新服務網站。
Systems Management Server：
Microsoft Systems Management Server (SMS) 提供了深具彈性的設定組態企業級因應措施，能夠對更新程式進行方便的管理。透過使用 SMS，系統管理員能判斷企業中有哪些 Windows 系統需要安裝安全性更新，並控制更新程式在企業中部署的流程，同時也將對使用者造成的干擾降到最低。如需系統管理員能如何利用 SMS 2003 部署安全性更新的詳細資訊，請瀏覽 SMS 2003 安全性補充程式管理網站。SMS 2.0 使用者也可以利用 Software Updates Service Feature Pack 來協助部署安全性更新。如需關於 SMS 的詳細資訊，請瀏覽 SMS 網站。
注意：SMS 使用 Microsoft Baseline Security Analyzer 及 Microsoft Office Detection Tool，為安全性公告的更新偵測及部署作業提供相當廣泛的支援。不過這些工具可能無法偵測部份的安全性更新。在這些情況中，系統管理員可以利用 SMS 的編制清查能力，判斷特定系統所需要的更新程式。如需這個程序的詳細資訊，請瀏覽這個網站。某些安全性更新程式在電腦重新啟動之後，會需要用到系統管理員的權限。系統管理員可以用 Elevated Rights Deployment Tool (隨 SMS 2003 Administration Feature Pack 和 SMS 2.0 Administration Feature Pack 提供) 來安裝這些更新。
免責聲明：
Microsoft 知識庫 (Microsoft Knowledge Base) 中的資訊係按「現狀」提供，並不提供任何保證。Microsoft 不做任何明示或暗示的責任擔保，包括適售性以及適合特定用途之擔保責任。無論任何情況下的損害，Microsoft Corporation 及其供應商皆不負任何法律責任，包括直接、間接、偶發意外、推衍引發、業務利潤損失或特殊損害。即使 Microsoft Corporation 及其供應商已被告知此類損害的可能性亦不負任何責任。某些地區並不允許排除及限制推衍後果或意外損害責任，因此前述限制不適用於這些地區。
修訂：
| • | V1.0 (2004 年 8 月 10 日)：公告發行 |