Bulletin de sécurité Microsoft MS15-103 - Important

Les vulnérabilités dans Microsoft Exchange Server pourraient autoriser la divulgation d’informations (3089250)

Publication : 8 septembre 2015

Version : 1.0

Résumé

Cette mise à jour de sécurité résout les vulnérabilités dans Microsoft Exchange Server. La plus grave des vulnérabilités peut permettre la divulgation d’informations si Outlook Web Access (OWA) ne parvient pas à gérer correctement les demandes web et désinfecte l’entrée utilisateur et le contenu du courrier électronique.

Cette mise à jour de sécurité est classée Importante pour toutes les éditions prises en charge de Microsoft Exchange Server 2013. Pour plus d’informations, consultez la section Logiciels affectés.

La mise à jour de sécurité résout les vulnérabilités en corrigeant la façon dont Microsoft Exchange OWA gère les demandes web et en aidant à s’assurer que OWA nettoie correctement les entrées utilisateur et le contenu du courrier électronique. Pour plus d’informations sur les vulnérabilités, consultez la section Informations sur les vulnérabilités.

Pour plus d’informations sur cette mise à jour, consultez l’article de la Base de connaissances Microsoft 3089250.

Logiciel affecté

Les versions ou éditions logicielles suivantes sont affectées. Les versions ou éditions qui ne sont pas répertoriées sont passées par leur cycle de vie de support ou ne sont pas affectées. Pour déterminer le cycle de vie de prise en charge de votre version ou édition logicielle, consultez Support Microsoft cycle de vie.

*La colonne Mises à jour remplacée affiche uniquement la dernière mise à jour dans n’importe quelle chaîne de mises à jour remplacées. Pour obtenir la liste complète des mises à jour remplacées, accédez au catalogue Microsoft Update, recherchez le numéro de mise à jour Ko, puis affichez les détails de la mise à jour (les informations remplacées sont fournies sous l’onglet Détails du package).

Faq sur la mise à jour

Cette mise à jour contient-elle des modifications supplémentaires liées à la sécurité apportées aux fonctionnalités ?
Outre les modifications répertoriées pour les vulnérabilités décrites dans ce bulletin, cette mise à jour inclut des mises à jour de défense en profondeur pour améliorer les fonctionnalités liées à la sécurité.

Évaluations de gravité et identificateurs de vulnérabilité

Les évaluations de gravité suivantes supposent l’impact maximal potentiel de la vulnérabilité. Pour plus d’informations sur la probabilité, dans les 30 jours suivant la publication de ce bulletin de sécurité, de l’exploitabilité de la vulnérabilité par rapport à son impact sur la gravité et la sécurité, consultez l’index exploitabilité dans le résumé du bulletin de septembre.

Informations sur la vulnérabilité

Vulnérabilité de divulgation d’informations Exchange - CVE-2015-2505

Une vulnérabilité de divulgation d’informations existe dans Microsoft Exchange Server lorsque Outlook Web Access (OWA) ne parvient pas à gérer correctement les demandes web. Un attaquant qui a réussi à exploiter la vulnérabilité peut découvrir les détails de stacktrace.

Pour exploiter la vulnérabilité, un attaquant doit créer une demande d’application web spécialement conçue, puis l’envoyer à une application web. La mise à jour de sécurité résout la vulnérabilité en corrigeant la façon dont Microsoft Exchange OWA gère les demandes web.

Microsoft a reçu des informations sur la vulnérabilité par le biais d’une divulgation coordonnée des vulnérabilités. Lorsque ce bulletin de sécurité a été émis, Microsoft n’avait reçu aucune information pour indiquer que cette vulnérabilité avait été utilisée publiquement pour attaquer les clients.

Facteurs d’atténuation

Microsoft n’a pas identifié de facteurs d’atténuation pour cette vulnérabilité.

Solutions de contournement

Microsoft n’a identifié aucune solution de contournement pour cette vulnérabilité.

Vulnérabilités d’usurpation d’identité Exchange multiples

Les vulnérabilités d’usurpation d’identité existent dans Microsoft Exchange Server quand OWA ne nettoie pas correctement les e-mails spécialement conçus. Un attaquant authentifié peut exploiter les vulnérabilités en envoyant un e-mail spécialement conçu à un utilisateur. Un attaquant peut ensuite effectuer des attaques par injection HTML sur des systèmes affectés et tenter de tromper l’utilisateur en révélant des informations sensibles.

Pour exploiter les vulnérabilités, l’utilisateur doit cliquer sur une URL spécialement conçue. Dans un scénario d’attaque par e-mail, un attaquant peut envoyer un e-mail contenant l’URL spécialement conçue à l’utilisateur via OWA dans une tentative de convaincre l’utilisateur de cliquer dessus.

Dans un scénario d’attaque basé sur le web, un attaquant peut héberger un site web malveillant conçu pour apparaître comme un site web légitime à l’utilisateur. Toutefois, l’attaquant n’aurait aucun moyen de forcer l’utilisateur à visiter le site web malveillant. L’attaquant aurait à convaincre l’utilisateur de visiter le site web malveillant, généralement en demandant à l’utilisateur de cliquer sur un lien dans un messager instantané ou un message électronique qui amène l’utilisateur au site web malveillant de l’attaquant, puis convaincre l’utilisateur d’interagir avec du contenu sur le site web malveillant.

La mise à jour de sécurité résout les vulnérabilités en aidant à s’assurer que l’OWA nettoie correctement le contenu des e-mails.

Le tableau suivant contient des liens vers l’entrée standard pour chaque vulnérabilité dans la liste Des vulnérabilités et des expositions courantes :

Facteurs d’atténuation

Microsoft n’a pas identifié de facteurs d’atténuation pour ces vulnérabilités.

Solutions de contournement

Microsoft n’a identifié aucune solution de contournement pour ces vulnérabilités.

Déploiement des mises à jour de sécurité

Pour plus d’informations sur le déploiement des mises à jour de sécurité, consultez l’article de la Base de connaissances Microsoft référencé dans le résumé exécutif.

Remerciements

Microsoft reconnaît les efforts de ceux de la communauté de sécurité qui nous aident à protéger les clients par le biais d’une divulgation coordonnée des vulnérabilités. Pour plus d’informations, consultez accusés de réception.

Exclusion de responsabilité

Les informations fournies dans la Base de connaissances Microsoft sont fournies « telles quelles » sans garantie. Microsoft exclut toutes les garanties, expresses ou implicites, y compris les garanties de marchandabilité et d’adéquation à un usage particulier. En aucun cas, Microsoft Corporation ou ses fournisseurs ne sont responsables de dommages-intérêts, y compris les dommages directs, indirects, accessoires, accessoires, les pertes de bénéfices commerciaux ou les dommages spéciaux, même si Microsoft Corporation ou ses fournisseurs ont été informés de la possibilité de tels dommages- intérêts. Certains États n’autorisent pas l’exclusion ou la limitation de responsabilité pour des dommages indirects ou accessoires afin que la limitation ci-dessus ne s’applique pas.

Révisions

• V1.0 (8 septembre 2015) : Bulletin publié.

Page générée 2015-09-03 17 :14Z-07 :00.