Cross-Site Scripting in Microsoft Exchange Server  
06/14/2006
 
E' stata riscontrata una vulnerabilità in Microsoft Exchange Server, la quale potrebbe essere sfruttata da un utente malevolo per eseguire attacchi cross-site scripting.

La falla è dovuta ad un errore presente nel servizio Microsoft Outlook Web Access (OWA) al momento di filtrare gli script presenti nei messaggi e-mail. Tale vulnerabilità permette ad un utente malevolo di inserire codice HTML e script arbitrari in modo che questi vengano eseguiti dal browser della vittima nel contesto del sito affetto quando il messaggio e-mail malevolo viene visualizzato.

Soluzione
=======
Applicare le relative patch:

Microsoft Exchange 2000 con il Post-Service Pack 3 Update Rollup di Agosto 2004:
http://www.microsoft.com/downloads/details.aspx?FamilyId=746CE64E-3186-422B-A13B-004E7942189B

Microsoft Exchange Server 2003 SP1:
http://www.microsoft.com/downloads/details.aspx?FamilyId=0E192781-847F-41C1-B32A-84218DB60942

Microsoft Exchange Server 2003 SP2:
http://www.microsoft.com/downloads/details.aspx?FamilyId=C777BC9F-52B7-4F17-96C7-DAF3B9987D70

Riferimenti
=======
http://www.microsoft.com/technet/security/Bulletin/MS06-029.mspx
http://secunia.com/advisories/20634/
 

Home Page