RNP > Serviços > Segurança em redes > Alertas do CAIS

Microsoft Security Bulletin MS03-047

Vulnerabilidade no Exchange Server (829436)

[Microsoft, 15.10.2003, revisão 01]

O CAIS está repassando o alerta divulgado pela Microsoft, "Microsoft Security Bulletin MS03-047: Vulnerability in Exchange Server 5.5 Outlook Web Access Could Allow Cross-Site Scripting Attack (828489)", que trata da identificação de uma vulnerabilidade de cross-site scripting no componente Outlook Web Access, que pode ser explorada remotamente permitindo a um atacante a execução de código arbitrário. Esta vulnerabilidade que afeta o Exchange Server 5.5 é diferente da reportada no alerta MS03-046.

A vulnerabilidade só pode ser explorada se o atacante enviar um e-mail com um link formatado de uma maneira especial, induzindo o usuário a clicá-lo. Outra forma seria criar um web site com o link acima e induzir o usuário a acessar o site e clicar no link. O ataque só será bem sucedido se o usuário, no momento que acessar o link, estiver logado no servidor Exchange usando a interface web do Outlook.

Sistemas Afetados:

• Microsoft Exchange Server 5.5, Service Pack 4

Sistemas não Afetados:

• Microsoft Exchange 2000 Server
• Microsoft Exchange Server 2003

Correções disponíveis:

A correção consiste na aplicação do patch recomendado pela Microsoft e disponível em:

• Microsoft Exchange Server 5.5, Service Pack 4
  http://www.microsoft.com/downloads/details.aspx?FamilyId=

Para aplicar este patch, é necessário que o Exchange Server 5.5 esteja atualizado com o Service Pack 4. O pacote pode ser encontrado em:

• http://www.microsoft.com/exchange/downloads/55/sp4.asp

Maiores informações:

http://www.microsoft.com/technet/security/bulletin/ms03-047.asp

Identificadores do CVE:

CAN-2003-0712, (http://cve.mitre.org)

O CAIS recomenda aos administradores de plataformas Microsoft que mantenham seus sistemas e aplicativos sempre atualizados.

Contato com o Cais:

+55 (19) 3787-3300
+55 (19) 3787-3301

cais@cais.rnp.br

Chave PGP pública do Cais