Outlook Web Access是Microsoft Exchange中用于通过Web浏览器读取和发送邮件的工具。
Outlook Web Access在处理特定的数据编码时存在漏洞，远程攻击者可能利用此漏洞控制用户机器。
Outlook Web Access没有正确地处理某些UTF字符集标签，因此可能未经正确地过滤便显示了基于脚本的附件。如果攻击者发送了带有特制UTF编码邮件附件的话，就可能导致在用户浏览器环境中执行任意代码或读取敏感信息。
Microsoft Exchange Server 2003 SP2
Microsoft Exchange Server 2003 SP1
Microsoft Exchange Server 2000 SP3
临时解决方法：
* 在运行Exchange Server的计算机上禁用Outlook Web Access（OWA）：
1. 单击“开始”，依次指向“所有程序”、“Microsoft Exchange”，然后单击“系统
管理器”。
2. 依次展开“服务器”、“服务器”、“协议”，然后展开“HTTP”。
3. 右键单击“Exchange 虚拟服务器”，然后单击“停止”。
* 禁止在OWA中作为Level2类型打开HTML附件：
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MSExchangeWEB\OWA
更新“Level2MIMETypes”以包括“text/html”
更新“Level2FileTypes”以包括“htm,html”
* 禁止在OWA中作为Level1类型打开HTML附件：
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MSExchangeWEB\OWA
更新“Level1MIMETypes”以包括“text/html”
更新“Level1FileTypes”以包括“htm,html”
厂商补丁：
Microsoft
---------
Microsoft已经为此发布了一个安全公告（MS07-026）以及相应补丁:
MS07-026：Vulnerabilities in Microsoft Exchange Could Allow Remote Code Execution (931832)
链接：<a href="http://www.microsoft.com/technet/security/bulletin/ms07-026.mspx?pf=true" target="_blank">http://www.microsoft.com/technet/security/bulletin/ms07-026.mspx?pf=true</a>
京公网安备 11010502034610号
暂无评论