DFN-CERT-2013-2057 Microsoft Exchange Server: Mehrere Schwachstellen ermöglichen das Ausführen beliebigen Programmcodes mit den Rechten des Dienstes [Windows]

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Microsoft Exchange Server <= 2007 Sp3 Microsoft Exchange Server <= 2010 Sp2 Microsoft Exchange Server <= 2010 Sp3 Microsoft Exchange Server <= 2013 Cumulative Update 2 Microsoft Exchange Server <= 2013 Cumulative Update 3 Betroffene Plattformen: Windows Ein entfernter, nicht authentifizierter Angreifer kann diese Schwachstellen ausnutzen, um beliebige Befehle im Kontext des lokalen Service Accounts auszuführen, beliebige Aktionen in Kontext des Outlook Web Access mit den Rechten des Benutzers auszuführen oder im Falle eine MS Exchange 2013 Servers einen Denial-of-Service-Angriff durchzuführen. Patch: Microsoft Hersteller-Advisory MS13-105 http://technet.microsoft.com/en-us/security/bulletin/ms13-105

CVE-2013-5791: Schwachstelle in Microsoft Exchange Server WebReady Document
Viewing feature

Eine Schwachstelle in dem ‘WebReady Document Viewing feature’ und der für
das Feature genutzten ‘Oracle Outside In’ Bibliothek, im Zusammenhang mit
dem ‘Outlook Web Access’ (OWA), führt dazu, dass Anhänge, die angezeigt
werden sollen, nicht richtig geparst werden. Im Microsoft Exchange Server
2013 kann diese Schwachstelle im Zusammenhang mit dem Data Loss Protection
feature dazu führen, dass der Server nicht mehr antwortet.

CVE-2013-5763: Schwachstelle in Microsoft Exchange Server WebReady Document
Viewing feature

CVE-2013-5072: Schwachstelle im Microsoft Exchange Server Outlook Web Access
feature

Eine Schwachstelle im MS Exchange Server im Zusammenhang mit dem Outlook Web
Access feature führt dazu, dass Benutzereingaben nicht vollständig geprüft
werden. Ein entfernter, nicht authentifizierter Angreifer kann durch eine
präparierte URL, wenn ein Benutzer diese öffnet, die Identität des Benutzers
verwenden, um beliebige Aktionen in Kontext des Outlook Web Access mit den
Rechten des Benutzers auszuführen.

CVE-2013-1330: Schwachstelle in Microsoft SharePoint Server

Microsoft SharePoint Server prüft eingegebene Daten im Zusammenhang mit dem
Outlook Web Access feature nicht korrekt. Ein entfernter, nicht angemeldeter
Angreifer kann diese Schwachstelle ausnutzen, indem er präparierte Daten an
den Server sendet und so beliebige Befehle mit den Rechten des W3WP Service
ausführt, sobald die Daten über das Outlook Web Access feature verarbeitet
werden.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2013-2057/

Herstelleradvisory Microsoft MS13-067:
http://technet.microsoft.com/en-us/security/bulletin/ms13-067

Schwachstelle CVE-2013-1330 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-1330

Schwachstelle CVE-2013-5763 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-5763

Microsoft Hersteller-Advisory MS13-105:
http://technet.microsoft.com/en-us/security/bulletin/ms13-105

Schwachstelle CVE-2013-5791 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-5791

Schwachstelle CVE-2013-5072 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-5072