Microsoft 安全性布告欄 MS15-103 - 重要
Microsoft Exchange Server 中的弱點可能會允許資訊洩漏（3089250）
發佈時間： 2015 年 9 月 8 日
版本： 1.0
執行摘要
此安全性更新可解決 Microsoft Exchange Server 中的弱點。 如果 Outlook Web Access （OWA） 無法正確處理 Web 要求，並清理使用者輸入和電子郵件內容，最嚴重的弱點可能會允許資訊洩漏。
此安全性更新會針對所有支援的 Microsoft Exchange Server 2013 版本評為重要。 如需詳細資訊，請參閱 受影響的軟體 一節。
安全性更新可藉由修正 Microsoft Exchange OWA 處理 Web 要求的方式，以及協助確保 OWA 正確地清理使用者輸入和電子郵件內容，來解決弱點。 如需弱點的詳細資訊，請參閱 弱點資訊 一節。
如需此更新的詳細資訊，請參閱 Microsoft 知識庫文章3089250。
受影響的軟體
下列軟體版本或版本受到影響。 未列出的版本或版本要麼超過其支援生命周期，要麼不會受到影響。 若要判斷軟體版本或版本的支援生命週期，請參閱 Microsoft 支援服務 生命週期。
| 軟體 | 最大安全性影響 | 匯總嚴重性評等 | 更新 已取代* |
|---|---|---|---|
| Microsoft Server Software | |||
| Microsoft Exchange Server 2013 累積更新 8 （3087126） | 洩露資訊 | 重要 | MS15-064 中的 3062157 |
| Microsoft Exchange Server 2013 累積更新 9 （3087126） | 洩露資訊 | 重要 | MS15-064 中的 3062157 |
| Microsoft Exchange Server 2013 Service Pack 1 （3087126） | 洩露資訊 | 重要 | MS15-064 中的 3062157 |
*更新 取代的數據行只會顯示任何已取代更新鏈結中的最新更新。 如需已取代的更新完整清單，請移至 Microsoft Update Catalog，搜尋更新 KB 編號，然後檢視更新詳細數據（更新取代的資訊是在 [套件詳細數據] 索引標籤上提供。
更新常見問題
此更新是否包含功能的任何其他安全性相關變更？
除了此公告中所述弱點所列的變更之外，此更新還包含深度防禦更新，以協助改善安全性相關功能。
嚴重性評等和弱點標識碼
下列嚴重性評等假設弱點的潛在最大影響。 如需有關此安全性布告欄發行 30 天內有關弱點嚴重性評等和安全性影響之惡意探索性的資訊，請參閱 9 月公告摘要中的惡意探索性索引。
| 受影響軟體的弱點嚴重性分級和安全性影響上限 | ||||
|---|---|---|---|---|
| 受影響的軟體 | Exchange 資訊洩漏弱點 - CVE-2015-2505 | Exchange 詐騙弱點 - CVE-2015-2543 | Exchange 詐騙弱點 - CVE-2015-2544 | 匯總嚴重性評等 |
| Microsoft Server Software | ||||
| Microsoft Exchange Server 2013 Service Pack 1 （3087126） | 重要資訊洩漏 | 不適用 | 重要 詐騙 | 重要 |
| Microsoft Exchange Server 2013 累積更新 8 （3087126） | 重要資訊 洩漏 | 重要 詐騙 | 重要 詐騙 | 重要 |
| Microsoft Exchange Server 2013 累積更新 9 （3087126） | 重要資訊 洩漏 | 重要 詐騙 | 重要 詐騙 | 重要 |
弱點資訊
Exchange 資訊洩漏弱點 - CVE-2015-2505
當 Outlook Web Access （OWA） 無法正確處理 Web 要求時，Microsoft Exchange Server 中存在資訊洩漏弱點。 成功利用弱點的攻擊者可能會探索堆疊追蹤詳細數據。
若要利用弱點，攻擊者必須建立特別製作的 Web 應用程式要求，然後將它提交至 Web 應用程式。 安全性更新可藉由更正 Microsoft Exchange OWA 處理 Web 要求的方式來解決弱點。
Microsoft 透過協調的弱點洩漏收到弱點的相關信息。 發佈此安全性布告欄時，Microsoft 未收到任何資訊，指出此弱點已公開用來攻擊客戶。
緩和因素
Microsoft 尚未識別此弱點的任何 緩和因素 。
因應措施
Microsoft 尚未識別此弱點的任何 因應措施 。
多個 Exchange 詐騙弱點
當 OWA 未正確清理特製的電子郵件時，Microsoft Exchange Server 中存在詐騙弱點。 已驗證的攻擊者可能會藉由傳送特製的電子郵件給使用者，來利用弱點。 攻擊者接著可以在受影響的系統上執行 HTML 插入式攻擊，並嘗試欺騙使用者揭露敏感性資訊。
若要惡意探索弱點，用戶必須單擊特製的URL。 在電子郵件攻擊案例中，攻擊者可以透過 OWA 傳送包含特製 URL 的電子郵件訊息給使用者，以嘗試說服使用者按兩下它。
在 Web 型攻擊案例中，攻擊者可以裝載惡意網站，其設計目的是要向用戶顯示為合法的網站。 不過，攻擊者無法強制使用者瀏覽惡意網站。 攻擊者必須說服使用者流覽惡意網站，通常是誘使用戶按兩下立即信使或電子郵件訊息中的連結，將使用者帶到攻擊者的惡意網站，然後說服使用者與惡意網站上的內容互動。
安全性更新可協助確保 OWA 正確地清理電子郵件內容，藉此解決弱點。
下表包含 Common Vulnerabilities and Exposures 清單中每個弱點的標準項目連結：
| 弱點標題 | CVE 號碼 | 公開披露 | 利用 |
|---|---|---|---|
| Exchange 詐騙弱點 | CVE-2015-2543 | No | No |
| Exchange 詐騙弱點 | CVE-2015-2544 | No | No |
緩和因素
Microsoft 尚未識別出這些弱點的任何 緩解因素 。
因應措施
Microsoft 尚未識別出這些弱點的任何 因應措施 。
安全性更新部署
如需安全性更新部署資訊，請參閱執行摘要中參考的 Microsoft 知識庫文章。
通知
Microsoft 可辨識安全性社群中協助我們透過協調弱點洩漏保護客戶的工作。 如需詳細資訊，請參閱通知。
免責聲明
Microsoft 知識庫中提供的資訊會「如實」提供，而不會提供任何類型的擔保。 Microsoft 不表示明示或隱含的所有擔保，包括適銷性及適合特定用途的擔保。 任何情況下，Microsoft Corporation 或其供應商都不得承擔任何損害責任，包括直接、間接、附帶、衍生性、業務利潤損失或特殊損害，即使 Microsoft Corporation 或其供應商已獲告知可能遭受此類損害。 某些州不允許排除或限制衍生性或附帶性損害的責任，因此可能不適用上述限制。
修訂記錄
- V1.0 （2015 年 9 月 8 日）： 公告發佈。
頁面產生的 2015-09-03 17：14Z-07：00。