Microsoft 安全公告 MS16-079 - 重要
Microsoft Exchange Server 安全更新（3160339）
发布时间： 2016 年 6 月 14 日
版本： 1.0
执行摘要
此安全更新可解决 Microsoft Exchange Server 中的漏洞。 如果攻击者在 Outlook Web Access（OWA）消息中发送特制的图像 URL（OWA），则最严重的漏洞可能会允许信息泄露，而 Outlook Web Access（OWA）消息中加载了未经警告或筛选的受攻击者控制的 URL。
对于所有受支持的 Microsoft Exchange Server 2007 版本、Microsoft Exchange Server 2010、Microsoft Exchange Server 2013 和 Microsoft Exchange Server 2016，此安全更新都被评为“重要”。 有关详细信息，请参阅 “受影响的软件和漏洞严重性分级 ”部分。
安全更新通过更正 Microsoft Exchange 分析 HTML 消息的方式来解决漏洞。 有关漏洞的详细信息，请参阅 “漏洞信息 ”部分。
有关此更新的详细信息，请参阅 Microsoft 知识库文章3160339。
受影响的软件和漏洞严重性分级
以下软件版本或版本受到影响。 未列出的版本或版本要么超过其支持生命周期，要么不受影响。 若要确定软件版本或版本的支持生命周期，请参阅Microsoft 支持部门生命周期。
每个受影响的软件所指示的严重性分级假定该漏洞的潜在最大影响。 有关此安全公告发布后 30 天内漏洞的可利用性及其严重性评级和安全影响的信息，请参阅 6 月公告摘要中的“可利用性索引”。
| Microsoft Server Software | Microsoft Exchange 信息泄露漏洞 - CVE-2016-0028 | 库中的 Oracle 特权提升漏洞：CVE-2015-6013 CVE-2015-6014 CVE-2015-6015 | 汇报已替换* |
|---|---|---|---|
| Microsoft Exchange Server 2007 | |||
| Microsoft Exchange Server 2007 Service Pack 3 （3151086） | 不适用 | 重要 特权提升 | MS14-075 中的 2996150 |
| Microsoft Exchange Server 2010 | |||
| Microsoft Exchange Server 2010 Service Pack 3 （3151097） | 不适用 | 重要 特权提升 | MS14-075 中的 2986475 |
| Microsoft Exchange Server 2013 | |||
| Microsoft Exchange Server 2013 Service Pack 1 （3150501） | 重要信息 披露 | 重要 特权提升 | MS16-010 中的 3124557 |
| Microsoft Exchange Server 2013 累积更新 11 （3150501） | 重要信息 披露 | 重要 特权提升 | MS16-010 中的 3124557 |
| Microsoft Exchange Server 2013 累积更新 12 （3150501） | 重要信息 披露 | 重要 特权提升 | 无 |
| Microsoft Exchange Server 2016 | |||
| Microsoft Exchange Server 2016 （3150501） | 重要信息 披露 | 重要 特权提升 | MS16-010 中的 3124557 |
| Microsoft Exchange Server 2016 累积更新 1 （3150501） | 重要信息 披露 | 重要 特权提升 | 无 |
*汇报替换列仅显示被取代更新链中的最新更新。 有关替换的更新的完整列表，请转到 Microsoft 更新目录，搜索更新知识库(KB)编号，然后查看更新详细信息（更新替换的信息是在“程序包详细信息”选项卡上提供的）。
更新常见问题解答
为什么 Microsoft 针对第三方代码“Oracle 外部”库中的漏洞发出安全更新？ Microsoft 许可 Oracle 外部库的自定义实现，特定于使用第三方代码的产品。 Microsoft 正在发出此安全更新，以帮助确保 Microsoft Exchange 中使用此第三方代码的所有客户都受到这些漏洞的保护。 有关这些漏洞的详细信息，请参阅 Oracle Critical Patch Update Advisory - 2016 年 1 月。
这些更新是否包含对功能的任何其他与安全相关的更改？
“受影响的软件和漏洞严重性评级”表中列出的更新包括深度防御更新，以帮助改进与安全相关的功能，以及针对本公告中所述的漏洞列出的更改。
漏洞信息
Microsoft Exchange 信息泄露漏洞 - CVE-2016-0028
Microsoft Exchange 分析可能允许信息泄露的 HTML 邮件的方式存在电子邮件筛选器旁路。 如果用户使用 Outlook Web Access（OWA）查看电子邮件，则成功利用该漏洞的攻击者可以识别、指纹和跟踪用户。 攻击者还可以将此漏洞与另一个漏洞（例如跨站点请求伪造（CSRF）合并，以放大攻击。
为了利用漏洞，攻击者可以在 OWA 消息中包含特制的图像 URL，这些 URL 可以在攻击者控制的 URL 中加载（无需警告或筛选）。 此回调矢量提供 Web 信标和其他类型的跟踪系统中使用的信息泄露策略。 更新更正 Exchange 分析 HTML 消息的方式。
下表包含指向常见漏洞和公开列表中的每个漏洞的标准条目的链接：
| 漏洞标题 | CVE 编号 | 公开披露 | 利用 |
|---|---|---|---|
| Microsoft Exchange 信息泄露漏洞 | CVE-2016-0028 | 否 | 否 |
缓解因素
Microsoft 尚未识别此漏洞的任何 缓解因素 。
解决方法
Microsoft 尚未识别此漏洞的任何 解决方法 。
库外 Oracle 特权提升漏洞
此安全更新解决了 Oracle Critical Patch Update Advisory 中 介绍的以下漏洞 - 2016 年 1 月：
- CVE-2015-6013：8.5.2 WK4 堆栈缓冲区溢出中的 Oracle 外部
- CVE-2015-6014：8.5.2 DOC 堆栈缓冲区溢出中的 Oracle 外部
- CVE-2015-6015：Oracle OIT 8.5.2 Paradox DB 堆栈缓冲区溢出
安全更新部署
有关安全更新部署信息，请参阅“执行摘要”中引用的 Microsoft 知识库文章。
致谢
Microsoft 认识到安全社区中那些帮助我们通过协调漏洞披露来保护客户的努力。 有关详细信息，请参阅确认。
免责声明
Microsoft 知识库中提供的信息“按原样”提供，不提供任何形式的担保。 Microsoft 不明确或暗示所有保证，包括适销性和针对特定用途的适用性和适用性的保证。 在任何情况下，Microsoft Corporation 或其供应商都应对任何损害负责，包括直接、间接、附带、后果性、业务利润损失或特殊损害，即使 Microsoft Corporation 或其供应商被告知存在此类损害的可能性。 某些州不允许排除或限制后果性或附带性损害的责任，因此上述限制可能不适用。
修订
- V1.0（2016 年 6 月 14 日）：公告已发布。
页面生成的 2016-06-08 10：44-07：00。