Microsoft 安全公告 MS16-108 - 严重
Microsoft Exchange Server 安全更新（3185883）
发布时间： 2016 年 9 月 13 日
版本： 1.0
执行摘要
此安全更新可解决 Microsoft Exchange Server 中的漏洞。 如果攻击者向易受攻击的 Exchange 服务器发送一封电子邮件，则最严重的漏洞可能允许在 Exchange Server 中内置的一些 Oracle 外部库中执行远程代码。
对于所有受支持的 Microsoft Exchange Server 2007、Microsoft Exchange Server 2010、Microsoft Exchange Server 2013 和 Microsoft Exchange Server 2016，此安全更新都被评为“严重”。 有关详细信息，请参阅 “受影响的软件和漏洞严重性分级 ”部分。
安全更新通过更正 Microsoft Exchange 的方式解决漏洞：
- 分析某些非结构化文件格式。
- 处理打开的重定向请求。
- 处理 Microsoft Outlook 会议邀请请求。
有关漏洞的详细信息，请参阅 “漏洞信息 ”部分。
有关此更新的详细信息，请参阅 Microsoft 知识库文章3185883。
受影响的软件和漏洞严重性分级
以下软件版本或版本受到影响。 未列出的版本或版本要么超过其支持生命周期，要么不受影响。 若要确定软件版本或版本的支持生命周期，请参阅Microsoft 支持部门生命周期。
每个受影响的软件所指示的严重性分级假定该漏洞的潜在最大影响。 有关此安全公告发布 30 天内漏洞的可利用性及其严重性评级和安全影响的信息，请参阅 9 月公告摘要中的“可利用性索引”。
| Microsoft Server Software | Microsoft Exchange 信息泄露漏洞 - CVE-2016-0138 | Microsoft Exchange Open 重定向漏洞 - CVE-2016-3378 | Microsoft Exchange 特权提升漏洞 - CVE-2016-3379 | 汇报已替换* |
|---|---|---|---|---|
| Microsoft Exchange Server 2007 | ||||
| Microsoft Exchange Server 2007 Service Pack 3 （3184711） | 重要信息 披露 | 不适用 | 不适用 | MS16-079 中的 3151086 |
| Microsoft Exchange Server 2010 | ||||
| Microsoft Exchange Server 2010 Service Pack 3 （3184728） | 重要信息 披露 | 不适用 | 不适用 | MS16-079 中的 3151097 |
| Microsoft Exchange Server 2013 | ||||
| Microsoft Exchange Server 2013 Service Pack 1 （3184736） | 重要信息 披露 | 中等 欺骗 | 不适用 | MS16-079 中的 3150501 |
| Microsoft Exchange Server 2013 累积更新 12 （3184736） | 重要信息 披露 | 中等 欺骗 | 不适用 | MS16-079 中的 3150501 |
| Microsoft Exchange Server 2013 累积更新 13 （3184736） | 重要信息 披露 | 中等 欺骗 | 不适用 | 无 |
| Microsoft Exchange Server 2016 | ||||
| Microsoft Exchange Server 2016 累积更新 1 （3184736） | 重要信息 披露 | 中等 欺骗 | 重要 特权提升 | MS16-079 中的 3150501 |
| Microsoft Exchange Server 2016 累积更新 2 （3184736） | 重要信息 披露 | 中等 欺骗 | 重要 特权提升 | 无 |
*汇报替换列仅显示被取代更新链中的最新更新。 有关替换的更新的完整列表，请转到 Microsoft 更新目录，搜索更新知识库(KB)编号，然后查看更新详细信息（更新替换的信息是在“程序包详细信息”选项卡上提供的）。
库漏洞中的 Oracle 外部
此安全更新解决了以下漏洞，这些漏洞在 Oracle 关键修补程序更新公告 - 2016 年 7 月：
远程代码执行：CVE-2016-3575、CVE-2016-3581、CVE-2016-3582、CVE-2016-3583、 CVE-2016-3595、CVE-2016-3594、CVE-2015-6014、CVE-2016-3593、CVE-2016-3592、CVE-2016-3596、CVE-2016-3591
信息泄露：CVE-2016-3574
拒绝服务：CVE-2016-3576、CVE-2016-3577、CVE-2016-3578、CVE-2016-3579、CVE-2016-3580、CVE-2016-3590
| 操作系统 | 聚合严重性和影响 | 已替换汇报 |
|---|---|---|
| Microsoft Exchange Server 2007 | ||
| Microsoft Exchange Server 2007 Service Pack 3 （3184711） | 关键 远程代码执行 | MS16-079 中的 3151086 |
| Microsoft Exchange Server 2010 | ||
| Microsoft Exchange Server 2010 Service Pack 3 （3184728） | 关键 远程代码执行 | MS16-079 中的 3151097 |
| Microsoft Exchange Server 2013 | ||
| Microsoft Exchange Server 2013 Service Pack 1 （3184736） | 关键 远程代码执行 | MS16-079 中的 3150501 |
| Microsoft Exchange Server 2013 累积更新 12 （3184736） | 关键 远程代码执行 | MS16-079 中的 3150501 |
| Microsoft Exchange Server 2013 累积更新 13 （3184736） | 关键 远程代码执行 | 无 |
| Microsoft Exchange Server 2016 | ||
| Microsoft Exchange Server 2016 累积更新 1 （3184736） | 关键 远程代码执行 | MS16-079 中的 3150501 |
| Microsoft Exchange Server 2016 累积更新 2 （3184736） | 关键 远程代码执行 | 无 |
更新常见问题解答
为什么 Microsoft 针对第三方代码“Oracle 外部”库中的漏洞发出安全更新？
Microsoft 许可 Oracle 外部库的自定义实现，特定于使用第三方代码的产品。 Microsoft 正在发出此安全更新，以帮助确保 Microsoft Exchange 中使用此第三方代码的所有客户都受到这些漏洞的保护。 有关这些漏洞的详细信息，请参阅 Oracle Critical Patch Update Advisory - 2016 年 7 月。
漏洞信息
Microsoft Exchange 信息泄露漏洞 - CVE-2016-0138
Microsoft Exchange Server 分析电子邮件的方式存在信息泄露漏洞。 此漏洞可能允许攻击者发现 Microsoft Outlook 应用程序中包含的机密用户信息。
为了利用漏洞，攻击者可以使用“发送为”权限向用户发送特制的消息。
安全更新通过更正 Microsoft Exchange 分析某些非结构化文件格式的方式来解决漏洞。
下表包含指向常见漏洞和公开列表中的每个漏洞的标准条目的链接：
| **漏洞标题 ** | **CVE 编号 ** | 公开披露 | 利用 |
|---|---|---|---|
| Microsoft Exchange 信息泄露漏洞 | CVE-2016-0138 | 否 | 否 |
缓解因素
Microsoft 尚未识别此漏洞的任何 缓解因素 。
解决方法
Microsoft 尚未识别此漏洞的任何 解决方法 。
Microsoft Exchange Open 重定向漏洞 - CVE-2016-3378
Microsoft Exchange 中存在可能导致欺骗的开放重定向漏洞。 为了利用漏洞，攻击者可以发送具有专门制作的 URL 的链接，并说服用户单击该链接。 当经过身份验证的 Exchange 用户单击该链接时，经过身份验证的用户的浏览器会话可能会重定向到旨在模拟合法网站的恶意网站。 通过这样做，攻击者可能会欺骗用户，并可能获取敏感信息，例如用户的凭据。
更新通过更正 Exchange 如何处理打开的重定向请求来解决漏洞。
下表包含指向常见漏洞和公开列表中的每个漏洞的标准条目的链接：
| 漏洞标题 | CVE 编号 | 公开披露 | 利用 |
|---|---|---|---|
| Microsoft Exchange Open Redirect 漏洞 | CVE-2016-3378 | 否 | 否 |
缓解因素
Microsoft 尚未识别此漏洞的任何 缓解因素 。
解决方法
Microsoft 尚未识别此漏洞的任何 解决方法 。
Microsoft Exchange 特权提升漏洞 - CVE-2016-3379
Microsoft Outlook 处理会议邀请请求的方式存在特权提升漏洞。 为了利用漏洞，攻击者可能会向用户发送具有恶意跨站点脚本（XSS）功能的特制 Outlook 会议邀请请求。
更新通过更正 Outlook 处理会议邀请请求的方式来解决漏洞。
下表包含指向常见漏洞和公开列表中的每个漏洞的标准条目的链接：
| **漏洞标题 ** | **CVE 编号 ** | 公开披露 | 利用 |
|---|---|---|---|
| Microsoft Exchange 特权提升漏洞 | CVE-2016-3379 | 否 | 否 |
缓解因素
Microsoft 尚未识别此漏洞的任何 缓解因素 。
解决方法
Microsoft 尚未识别此漏洞的任何 解决方法 。
安全更新部署
有关安全更新部署信息，请参阅“执行摘要”中引用的 Microsoft 知识库文章。
致谢
Microsoft 认识到安全社区中那些帮助我们通过协调漏洞披露来保护客户的努力。 有关详细信息，请参阅确认。
免责声明
Microsoft 知识库中提供的信息“按原样”提供，不提供任何形式的担保。 Microsoft 不明确或暗示所有保证，包括适销性和针对特定用途的适用性和适用性的保证。 在任何情况下，Microsoft Corporation 或其供应商都应对任何损害负责，包括直接、间接、附带、后果性、业务利润损失或特殊损害，即使 Microsoft Corporation 或其供应商被告知存在此类损害的可能性。 某些州不允许排除或限制后果性或附带性损害的责任，因此上述限制可能不适用。
修订
- V1.0（2016 年 9 月 13 日）：公告已发布。
页面生成的 2016-09-12 09：56-07：00。