Межсайтовое выполнение сценариев в OWA

Средняя (4.3)

(AV:N/AC:M/Au:N/C:N/I:P/A:N)

Microsoft

Microsoft Exchange (Exchange Server 2013 CU6, Exchange Server 2013 SP1) Microsoft Updates (KB3011140, KB3040856, KB3062157, KB3087126, KB3124557)

Уязвимости, позволяющие повысить уровень привилегий, существуют в Microsoft Exchange Server из-за некорректной проверки входных данных. Эксплуатация данных уязвимостей позволяет злоумышленнику запустить сценарий в контексте текущего пользователя. Успешное использование уязвимости позволяет атакующему, например, просматривать содержимое, на доступ к которому у него нет прав; использовать идентификатор жертвы для выполнения действий на сайте Outlook Web App от ее имени, например, изменять права доступа и удалять содержимое, а также внедрять вредоносный контент в браузер. Для эксплуатации данных уязвимостей атакуемый должен перейти по специально сформированной URL-ссылке, которая перенаправит его на целевой сайт Outlook Web App.

Используйте рекомендации производителя:
http://technet.microsoft.com/security/bulletin/ms14-075

MS (14-075): http://technet.microsoft.com/security/bulletin/ms14-075

Источник: CVE
Наименование: CVE-2014-6325
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-6325

Источник: CVE
Наименование: CVE-2014-6326
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-6326