MS15-064:Microsoft Exchange Server 中的漏洞可允许权限提升 (3062157)

medium Nessus 插件 ID 84085

简介

远程 Microsoft Exchange 服务器受到多种漏洞的影响。

描述

远程 Microsoft Exchange 服务器缺少安全更新。因此,它受到多种漏洞的影响:

- 由于未正确管理同源策略,Microsoft Exchange Web 应用程序中存在一个服务器端请求伪造漏洞。攻击者可利用此漏洞,通过使用特别构建的 Web 应用程序执行进一步攻击。(CVE-2015-1764)

- 由于未正确管理用户会话,Microsoft Exchange Web 应用程序中存在一个跨站请求伪造漏洞。远程攻击者可利用此漏洞,通过诱骗用户访问特别构建的网页,导致获取敏感信息的访问权限,冒充用户身份,或向受害者的 Web 浏览器中注入恶意内容。(CVE-2015-1771)

- 由于未正确审查用户提供的 HTML 字符串,Microsoft Exchange Web 应用程序中存在一个 HTML 注入漏洞。远程攻击者可利用此漏洞,通过向使用 HTML 审查的目标站点提交构建的脚本,导致在访问此站点的用户安全环境中执行恶意代码。(CVE-2015-2359)

解决方案

Microsoft 已发布一系列用于 Exchange 2013 的修补程序。

另见

http://www.nessus.org/u?1cd10af0

插件详情

严重性: Medium

ID: 84085

文件名: smb_nt_ms15-064.nasl

版本: 1.12

类型: local

代理: windows

发布时间: 2015/6/10

最近更新时间: 2021/4/20

支持的传感器: Nessus

风险信息

VPR

风险因素: Medium

分数: 5.9

CVSS v2

风险因素: Medium

基本分数: 6.8

时间分数: 5

矢量: CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:P

CVSS 分数来源: CVE-2015-1764

漏洞信息

CPE: cpe:/a:microsoft:exchange_server

必需的 KB 项: SMB/MS_Bulletin_Checks/Possible

易利用性: No known exploits are available

补丁发布日期: 2015/6/9

漏洞发布日期: 2015/6/9

参考资料信息

CVE: CVE-2015-1764, CVE-2015-1771, CVE-2015-2359

BID: 75007, 75011, 75013

MSFT: MS15-064

MSKB: 3062157