CH azonosító
CH-12320Angol cím
Exchange Server patchFelfedezés dátuma
2015.06.09.Súlyosság
KözepesÖsszefoglaló
A Microsoft az Exchange Serverhez is adott ki frissítést. Ezzel két olyan sérülékenység javítására kerített sort, amelyek révén a CSRF (Cross-site Request Forgery) vagy a HTML-injection módszereket is kihasználó támadások kockázatát lehet csökkenteni.
Leírás
A biztonsági rések tetszőleges HTML-kódokkal való visszaélésekre adhatnak módot, illetve jogosultsági szint emelést segíthetnek elő. Ugyanakkor fontos megjegyezni, hogy a sérülékenységek kizárólag akkor válhatnak kihasználhatóvá, ha a célkeresztbe állított felhasználó korábban már bejelentkezett az érintett szerverre. Ha ez a feltétel adott, akkor a támadónak már csak annyi dolga van, hogy rávegye a felhasználót egy speciálisan összeállított hivatkozásra való kattintásra. Frissítésre kizárólag az Exchange Server 2013-as kiadásának esetében van szükség.
Megoldás
A Microsoft MS15-064-es biztonsági közleményéhez tartozó hibajavítások telepítése.
Támadás típusa
Cross Site Scripting (XSS/CSS)Hijacking (Visszaélés)
Privilege escalation (jogosultság kiterjesztés)
Hatás
Loss of confidentiality (Bizalmasság elvesztése)Loss of integrity (Sértetlenség elvesztése)
Szükséges hozzáférés
Remote/Network (Távoli/hálózat)Hivatkozások
Gyártói referencia: technet.microsoft.com
Egyéb referencia: isbk.hu
CVE-2015-1764 - NVD CVE-2015-1764
CVE-2015-1771 - NVD CVE-2015-1771