Бюллетень по безопасности

Бюллетень по безопасности Майкрософт MS13-061 — критически важный

Уязвимости в Microsoft Exchange Server могут разрешить удаленное выполнение кода (2876063)

Опубликовано: 13 августа 2013 г. | Обновлено: 27 августа 2013 г.

Версия: 3.0

Общие сведения

Краткий обзор

Это обновление системы безопасности разрешает три общедоступных уязвимости в Microsoft Exchange Server. Уязвимости существуют в функциях просмотра документов WebReady и защиты от потери данных Microsoft Exchange Server. Уязвимости могут разрешить удаленное выполнение кода в контексте безопасности службы транскодирования на сервере Exchange, если пользователь предварительно просматривает специально созданный файл с помощью Outlook Web App (OWA). Служба транскодирования в Exchange, используемая для просмотра документов WebReady, использует учетные данные учетной записи LocalService. Функция защиты от потери данных содержит код, который может разрешить удаленное выполнение кода в контексте безопасности службы управления фильтрацией, если специально созданное сообщение получено сервером Exchange Server. Служба управления фильтрацией в Exchange использует учетные данные учетной записи LocalService. Учетная запись LocalService имеет минимальные привилегии в локальной системе и предоставляет анонимные учетные данные в сети.

Это обновление системы безопасности имеет критически важное значение для всех поддерживаемых выпусков Microsoft Exchange Server 2007, Microsoft Exchange Server 2010 и Microsoft Exchange Server 2013. Дополнительные сведения см. в подразделе " Затронутое и не затронутое программное обеспечение" в этом разделе.

Обновление системы безопасности устраняет уязвимости, обновив затронутые библиотеки Oracle Outside In до незащищенной версии. Дополнительные сведения об уязвимостях см. в подразделе часто задаваемых вопросов (часто задаваемых вопросов) для конкретной записи уязвимостей в следующем разделе: сведения об уязвимостях.

Рекомендация. Клиенты могут настроить автоматическое обновление до проверка в Интернете для обновлений из Центра обновления Майкрософт с помощью службы центра обновления Майкрософт. Клиенты, которые включили автоматическое обновление и настроили проверка в Сети для обновлений из Центра обновления Майкрософт, обычно не потребуется предпринять никаких действий, так как это обновление безопасности будет загружено и установлено автоматически. Клиентам, которые не включили автоматическое обновление, необходимо проверка для обновлений из Центра обновления Майкрософт и установить это обновление вручную. Сведения о конкретных параметрах конфигурации в автоматическом обновлении в поддерживаемых выпусках Windows XP и Windows Server 2003 см . в статье базы знаний Майкрософт 294871. Сведения о автоматическом обновлении в поддерживаемых выпусках Windows Vista, Windows Server 2008, Windows 7 и Windows Server 2008 R2 см. в статье "Общие сведения о автоматическом обновлении Windows".

Для администраторов и корпоративных установок или конечных пользователей, которые хотят установить это обновление вручную, корпорация Майкрософт рекомендует клиентам немедленно применять обновление с помощью программного обеспечения управления обновлениями или проверка для обновлений с помощью службы обновления Майкрософт.

См. также раздел, средства обнаружения и развертывания и рекомендации далее в этом бюллетене.

Известные проблемы. нет

Статья базы знаний

Затронутое и не затронутое программное обеспечение

Следующее программное обеспечение было проверено, чтобы определить, какие версии или выпуски затронуты. Другие версии или выпуски либо прошли жизненный цикл поддержки, либо не затрагиваются. Сведения о жизненном цикле поддержки для версии или выпуска программного обеспечения см. в разделе служба поддержки Майкрософт Жизненный цикл.

Затронутого программного обеспечения

** **

Не затронутое программное обеспечение 

Вопросы и ответы по обновлению

Почему этот бюллетень был изменен 27 августа 2013 года?  Корпорация Майкрософт повторила этот бюллетень, чтобы объявить о повторном выпуске обновления 2874216, затрагивающего Накопительный пакет обновления 1 Exchange Server 2013 и Накопительный пакет обновления 2 Microsoft Exchange Server 2013. Повторное обновление устраняет проблему с исходным обновлением, выпущенное 13 августа 2013 г., что может привести к остановке индексирования почты exchange Server на серверах. Клиенты, которые уже установили исходное обновление, будут повторно выпущены 2874216 обновления и рекомендуется применить его при первой возможности.

Если я выполняю первое предложение 2874216, необходимо ли выполнить шаги, описанные в КБ 2879739 после применения повторного обновления?   Это повторное обновление устраняет проблему, из-за которой исходное обновление 2874216 было установлено неправильно на серверах Exchange, которые ранее не были обновлены. Чтобы восстановить полную функциональность на любом сервере, на котором было установлено первое предложение 2874216, администраторы должны применить повторное обновление 2874216, а также выполнить действия, описанные в статье базы знаний 2879739.

Что произойдет, если обновление системы безопасности или какое-либо другое промежуточное исправление обновления удаляется?  Удаление любого обновления безопасности или промежуточного исправления обновления приведет к сбою службы индексирования содержимого. Чтобы восстановить полную функциональность, необходимо выполнить действия, описанные в статье базы знаний 2879739. Возможность удаления проблемы с безопасностью или промежуточным обновлением будет устранена в накопительном обновлении 3.

Почему этот бюллетень был изменен 14 августа 2013 г.? Что произошло с исходными обновлениями 2874216security для Microsoft Exchange Server 2013?  Корпорация Майкрософт знает о проблеме с обновлениями 2874216, влияющими на накопительный пакет обновления 1 Exchange Server 2013 и Накопительный пакет обновления 2 Microsoft Exchange Server 2, что может привести к остановке индексирования почты exchange Server на серверах. Корпорация Майкрософт удалила обновления из Обновл. Windows и Центра загрузки и изучает проблему. Корпорация Майкрософт выпустит новые пакеты после устранения проблемы.

Советы по обновлению критически важных исправлений Oracle различает несколько уязвимостей. Какие уязвимости обращаются к этому адресу обновления?
Это обновление устраняет три уязвимости: CVE-2013-3781 и CVE-2013-3776, как описано в рекомендациях по обновлению критических исправлений Oracle — июль 2013 г. и CVE-2013-2393, как описано в рекомендациях по обновлению критически важных путей Oracle — апрель 2013 г.

Содержит ли это обновление какие-либо не связанные с безопасностью изменения функций?
Да, в зависимости от установленной версии Microsoft Exchange Server. Помимо изменений, перечисленных в разделе сведений об уязвимостях этого бюллетеня, это обновление включает другие изменения функциональных возможностей, как описано в связанных КБ статьях о затронутых обновлениях свертки, перечисленных ниже.

• Накопительный пакет обновления 11 для Exchange Server 2007 с пакетом обновления 3 (2873746) см . в статье базы знаний Майкрософт 2873746.
• Накопительный пакет обновления 2 для Exchange Server 2010 с пакетом обновления 3 (2866475) см . в статье базы знаний Майкрософт 2866475.

Это уязвимости в стороннем коде, Oracle Outside In в библиотеках. Почему корпорация Майкрософт выдает обновление системы безопасности?
Корпорация Майкрософт лицензирует пользовательскую реализацию библиотек Oracle Outside In, относящийся к продукту, в котором используется сторонний код. Корпорация Майкрософт выдает это обновление системы безопасности, чтобы гарантировать, что все клиенты, использующие этот сторонний код в Microsoft Exchange, защищены от этих уязвимостей.

Я использую старый выпуск программного обеспечения, рассмотренного в этом бюллетене по безопасности. Что делать?
Затронутое программное обеспечение, указанное в этом бюллетене, было проверено, чтобы определить, какие выпуски затронуты. Другие выпуски прошли жизненный цикл поддержки. Дополнительные сведения о жизненном цикле продукта см. на веб-сайте жизненного цикла служба поддержки Майкрософт.

Это должно быть приоритетом для клиентов, имеющих старые выпуски программного обеспечения для миграции на поддерживаемые выпуски, чтобы предотвратить потенциальное воздействие уязвимостей. Чтобы определить жизненный цикл поддержки для выпуска программного обеспечения, см. раздел "Выбор продукта для сведений о жизненном цикле". Дополнительные сведения о пакетах обновления для этих выпусков программного обеспечения см . в политике поддержки жизненного цикла пакета обновления.

Клиенты, которым требуется пользовательская поддержка более старого программного обеспечения, должны обратиться к своему представителю группы учетных записей Майкрософт, менеджеру технической учетной записи или соответствующему представителю партнера Майкрософт для пользовательских вариантов поддержки. Клиенты без альянса, Premier или авторизованного контракта могут связаться со своим местным офисом продаж Майкрософт. Контактные данные см. на веб-сайте Microsoft Worldwide Information , выберите страну в списке контактных данных и нажмите кнопку " Перейти ", чтобы просмотреть список телефонных номеров. При вызове попросите поговорить с местным менеджером по продажам в службу поддержки Premier. Дополнительные сведения см. в разделе "Часто задаваемые вопросы о политике жизненного цикла служба поддержки Майкрософт".

Сведения об уязвимостях

Оценки серьезности и идентификаторы уязвимостей

Следующие оценки серьезности предполагают потенциальное максимальное влияние уязвимости. Сведения о вероятности, в течение 30 дней после выпуска этого бюллетеня по безопасности, о эксплойтации уязвимости в отношении его оценки серьезности и влияния на безопасность, см. в сводке по индексу эксплойтации в августовом бюллетене. Дополнительные сведения см. в разделе "Индекс эксплойтации Майкрософт".

Oracle за пределами содержит несколько уязвимостей, доступных для эксплойтов

Две из трех уязвимостей, устраненных в этом бюллетене, CVE-2013-2393 и CVE-2013-3776, существуют в Exchange Server 2007, Exchange Server 2010 и Exchange Server 2013 через функцию просмотра документов WebReady. Уязвимости могут разрешить удаленное выполнение кода в качестве учетной записи LocalService, если пользователь просматривает специально созданный файл через Outlook Web Access в браузере. Злоумышленник, который успешно воспользовался этой уязвимостью, может запустить код на затронутом сервере Exchange Server, но только в качестве учетной записи LocalService. Учетная запись LocalService имеет минимальные привилегии на локальном компьютере и предоставляет анонимные учетные данные в сети.

Третья уязвимость CVE-2013-3781 существует в Exchange Server 2013 с помощью функции защиты от потери данных (DLP). Эта уязвимость может привести к тому, что затронутый сервер Exchange Server не отвечает, если пользователь просматривает специально созданный файл через Outlook Web Access в браузере.

Сведения об этих уязвимостях в качестве стандартной записи в списке распространенных уязвимостей и уязвимостей см. в разделе CVE-2013-2393, CVE-2013-3776 и CVE-2013-3781.

Смягчающие факторы

Устранение рисков ссылается на параметр, общую конфигурацию или общую рекомендацию, существующую в состоянии по умолчанию, которая может снизить серьезность эксплуатации уязвимости. В вашей ситуации могут оказаться полезными следующие факторы устранения рисков:

• Служба транскодирования в Exchange, используемая для просмотра документов WebReady, выполняется в учетной записи LocalService. Учетная запись LocalService имеет минимальные привилегии на локальном компьютере и предоставляет анонимные учетные данные в сети. Это фактор для CVE-2013-3776 и CVE-2013-3781.
• Служба управления фильтрацией в Exchange, которая используется для предотвращения потери данных, выполняется в учетной записи LocalService. Учетная запись LocalService имеет минимальные привилегии в локальной системе и предоставляет анонимные учетные данные в сети. Это фактор для CVE-2013-3776 и CVE-2013-3781

Методы обхода проблемы

Решение относится к изменению параметра или конфигурации, которое не исправляет базовую уязвимость, но поможет заблокировать известные векторы атак перед применением обновления. Корпорация Майкрософт проверила следующие обходные пути и состояния в обсуждении, сокращает ли решение функциональные возможности:

• Отключение защиты от потери данных (только Exchange Server 2013)

  1. Войдите в оболочку управления Exchange в качестве Администратор istrator организации Exchange.

  2. Выполните одну из следующих команд PowerShell в зависимости от установленной версии Exchange Server 2013:

     Для Exchange Server 2013 с накопительным обновлением 1:

     %SystemDrive%\Program Files\Microsoft\Exchange Server\V15\Scripts\Disable-OutsideIn.ps1

     Для Exchange Server 2013 с накопительным обновлением 2:

     Set-TextExtractionScanSettings -EnableModules AdeModule.dll, FilterModule.dll, TextConversionModule.dll

  Влияние обходного решения. Политики защиты от потери данных, зависящие от библиотек "Вне в сети", не будут функционировать. Скрипт, предоставленный для накопительного обновления 1, приведет к перезапуску служб управления транспортом и фильтрацией.

  Разделы справки отменить обходное решение?

  1. Войдите в оболочку управления Exchange в качестве Администратор istrator организации Exchange.

  2. Выполните одну из следующих команд PowerShell в зависимости от установленной версии Exchange Server 2013:

     Для Exchange Server 2013 с накопительным обновлением 1:

     %SystemDrive%\Program Files\Microsoft\Exchange Server\V15\Scripts\Enable-OutsideIn.ps1

     Для Exchange Server 2013 с накопительным обновлением 2:

     Set-TextExtractionScanSettings -EnableModules AdeModule.dll, FilterModule.dll, TextConversionModule.dll, OutsideInModule.dll

• Отключение представления документов WebReady

  1. Войдите в оболочку управления Exchange в качестве Администратор istrator организации Exchange.

  2. Выполните следующую команду PowerShell:

     Get-OwaVirtualDirectory | where {$_.OwaVersion -eq 'Exchange2007' -or $_.OwaVersion -eq 'Exchange2010' -or 
     $_.OwaVersion -eq 'Exchange2013'} | Set-OwaVirtualDirectory - 
     WebReadyDocumentViewingOnPublicComputersEnabled:$False - 
     WebReadyDocumentViewingOnPrivateComputersEnabled:$False
     

  Влияние обходного решения. Пользователи OWA могут не просматривать содержимое вложений электронной почты.

  Разделы справки отменить обходное решение?

  1. Войдите в оболочку управления Exchange в качестве Администратор istrator организации Exchange.

  2. Выполните следующую команду PowerShell:

     Get-OwaVirtualDirectory | where {$_.OwaVersion -eq 'Exchange2007' -or $_.OwaVersion -eq 'Exchange2010' -or 
     $_.OwaVersion -eq 'Exchange2013'} | Set-OwaVirtualDirectory -
     WebReadyDocumentViewingOnPublicComputersEnabled:$True -
     WebReadyDocumentViewingOnPrivateComputersEnabled:$True
     

  Обратите внимание, что описанные выше шаги предполагают, что ранее Администратор istrator Exchange разрешил просматривать документы WebReady на общедоступных и частных входах в OWA. Соответствующее значение $True или $False должно использоваться для задания требуемого поведения на основе входа пользователя.

Вопросы и ответы

Что такое область уязвимостей? 
Это уязвимости удаленного выполнения кода.

Что вызывает уязвимости? 
Уязвимости возникают, когда библиотеки Oracle Outside In анализирует специально созданные файлы.

Что такое Oracle Outside In библиотеки? 
В Exchange Server 2007, Exchange Server 2010 и Exchange Server 2013 пользователи Outlook Web App (OWA) предоставляются с функцией "Просмотр документов WebReady", которая позволяет пользователям просматривать определенные вложения как веб-страницы, а не полагаться на локальные приложения, чтобы открывать или просматривать их. Библиотеки Oracle Outside In используются процессом преобразования на серверной части сервера для поддержки функции WebReady. Корпорация Майкрософт лицензирует эти библиотеки из Oracle.

В Exchange Server 2013 защита от потери данных Exchange (DLP) использует библиотеки Oracle Outside In в рамках своих возможностей сканирования файлов.

Что такое просмотр документов WebReady? 
Просмотр документов WebReady позволяет пользователям просматривать определенные вложения как веб-страницу. Exchange 2007, Exchange 2010 и Exchange 2013 выполняют преобразование, поэтому пользователю не нужно ничего, кроме веб-браузера для просмотра вложений.

Что такое защита от потери данных (DLP)?
Защита от потери данных (DLP) — это функция Exchange 2013, которая позволяет клиентам определять, отслеживать и защищать конфиденциальные данные с помощью глубокого анализа содержимого.

Что может сделать злоумышленник? 
Злоумышленник, который успешно использовал эти уязвимости, может запустить произвольный код как LocalService на затронутом сервере Exchange. Затем злоумышленник может установить программы; просмотр, изменение или удаление данных; или выполните любое другое действие, к которому имеет доступ серверный процесс.

Как злоумышленник может использовать эти уязвимости? 
Злоумышленник может отправить сообщение электронной почты, содержащее специально созданный файл пользователю на затронутом сервере Exchange.

Какие системы в первую очередь подвергаются риску от уязвимостей? 
Системы, работающие под управлением затронутых версий Exchange Server, в основном подвергаются риску от этих уязвимостей.

Что делает обновление? 
Обновление устраняет уязвимости, обновив затронутые библиотеки Oracle Outside In до незащищенной версии.

Когда был выдан бюллетень по безопасности, были ли эти уязвимости публично раскрыты? 
Да. Эти уязвимости были публично раскрыты. Им назначены следующие распространенные номера уязвимостей и уязвимостей:

• CVE-2013-2393
• CVE-2013-3776
• CVE-2013-3781

Когда был выпущен этот бюллетень по безопасности, корпорация Майкрософт получила какие-либо отчеты об использовании этих уязвимостей? 
№ Корпорация Майкрософт не получила никакой информации, чтобы указать, что эти уязвимости были публично использованы для атак клиентов при первоначальном выпуске этого бюллетеня по безопасности.

Обновление сведений

Средства обнаружения и развертывания и рекомендации

Несколько ресурсов помогают администраторам развертывать обновления системы безопасности. 

• Анализатор безопасности Microsoft Base (МБ SA) позволяет администраторам проверять локальные и удаленные системы для отсутствия обновлений безопасности и распространенных ошибок в настройке безопасности. 
• Службы обновления Windows Server (WSUS), сервер управления системами (SMS) и System Center Configuration Manager (SCCM) помогают администраторам распространять обновления безопасности. 
• Компоненты средства оценки совместимости обновлений, включенные в состав набор средств совместимости приложений, упрощают тестирование и проверку обновлений Windows в установленных приложениях. 

Сведения об этих и других средствах, доступных, см. в разделе "Средства безопасности для ИТ-специалистов". 

Развертывание обновлений безопасности

Затронутого программного обеспечения

Для получения сведений об определенном обновлении безопасности для затронутого программного обеспечения щелкните соответствующую ссылку:

Microsoft Exchange Server 2007 с пакетом обновления 3

Справочная таблица

В следующей таблице содержатся сведения об обновлении системы безопасности для этого программного обеспечения.

Microsoft Exchange Server 2010 с пакетом обновления 2 (SP2)

Справочная таблица

В следующей таблице содержатся сведения об обновлении системы безопасности для этого программного обеспечения.

Microsoft Exchange Server 2010 с пакетом обновления 3

Справочная таблица

В следующей таблице содержатся сведения об обновлении системы безопасности для этого программного обеспечения.

Microsoft Exchange Server 2013

Справочная таблица

В следующей таблице содержатся сведения об обновлении системы безопасности для этого программного обеспечения.

Другие сведения

Программа Microsoft Active Protections (MAPP)

Чтобы повысить защиту безопасности для клиентов, корпорация Майкрософт предоставляет сведения об уязвимостях основным поставщикам программного обеспечения безопасности перед каждым ежемесячным выпуском обновления безопасности. Затем поставщики программного обеспечения безопасности могут использовать эту информацию об уязвимости, чтобы обеспечить обновленную защиту для клиентов с помощью своего программного обеспечения или устройств, таких как антивирусная программа, сетевые системы обнаружения вторжений или системы предотвращения вторжений на основе узлов. Чтобы определить, доступны ли активные защиты от поставщиков программного обеспечения безопасности, перейдите на веб-сайты активных защиты, предоставляемые партнерами программы, перечисленными в программе Microsoft Active Protections Program (MAPP).

Поддержка

Получение справки и поддержки для этого обновления системы безопасности

• Справка по установке обновлений: поддержка Центра обновления Майкрософт
• Решения по безопасности для ИТ-специалистов: устранение неполадок и поддержка безопасности TechNet
• Защита компьютера под управлением Windows от вирусов и вредоносных программ: решение для вирусов и центра безопасности
• Локальная поддержка в соответствии с вашей страной: международная поддержка

Заявление об отказе

Сведения, предоставленные в Базе знаний Майкрософт, предоставляются "как есть" без каких-либо гарантий. Корпорация Майкрософт отказывается от всех гарантий, явных или подразумеваемых, включая гарантии торговых возможностей и соответствия определенной цели. В любом случае корпорация Майкрософт или ее поставщики не несут ответственности за любые убытки, включая прямые, косвенные, случайные, косвенные, косвенные, следовательно, потерю прибыли или специальные убытки, даже если корпорация Майкрософт или ее поставщики были уведомлены о возможности таких повреждений. Некоторые государства не разрешают исключение или ограничение ответственности за последующие или случайные убытки, поэтому не может применяться ограничение.

Редакции

• Версия 1.0 (13 августа 2013 г.): бюллетень опубликован.
• Версия 2.0 (14 августа 2013 г.): повторно выпущен бюллетень, чтобы удалить обновления 2874216 для Microsoft Exchange Server 2013 накопительного обновления 1 и Накопительного обновления 2 Microsoft Exchange Server 2013, чтобы устранить проблему с обновлениями. Дополнительные сведения см. в разделе "Вопросы и ответы об обновлении".
• Версия 3.0 (27 августа 2013 г.): повторное объявление о повторном выпуске обновления 2874216 для Microsoft Exchange Server 2013 накопительного обновления 1 и Microsoft Exchange Server 2013 с накопительным обновлением 2. Дополнительные сведения см. в разделе "Вопросы и ответы об обновлении".

Построено в 2014-04-18T13:49:36Z-07:00