Sicherheits-Patch für Outlook-Web-Access-Server 5.5

Sicherheitsloch erlaubt Ausführung von Scripting-Code

Am Patch-Day für den Monat August 2004 bereinigt Microsoft - kurz nach dem Erscheinen vom Service Pack 2 für Windows XP - ein Sicherheitsleck im Outlook-Web-Access-Server der Version 5.5. Das Sicherheitsloch erlaubt es einem Angreifer im schlimmsten Fall, gefährlichen Programmcode auf einem fremden System auszuführen.

Artikel veröffentlicht am 11. August 2004, 10:17 Uhr, Ingo Pakalski

Das Sicherheitsleck in Outlook Web Access-Server 5.5 tritt auf, weil eine HTML-Umleitungsabfrage nicht ordnungsgemäß geprüft wird, bevor diese an den Browser übermittelt wird. Darüber kann ein Angreifer Änderungen am Browser-Cache oder den Proxy-Einstellungen vornehmen und darin beliebige Inhalte ablegen.

Ferner erlaubt das Sicherheitsloch die Ausführung von schadhaftem Scripting-Code, indem dieser im Sicherheitskontext des angemeldeten Nutzers ausgeführt wird. Dazu muss etwa ein Angreifer ein Opfer nur dazu bewegen, auf einen in einer E-Mail enthaltenen Link zu klicken, wenn diese über Outlook Web Access aufgerufen wird. Zudem würde ein Angreifer durch das Sicherheitsleck Zugriff auf alle Daten auf dem Outlook-Web-Access-Server des betreffenden Nutzers erhalten.

Mit dem Dienst Outlook Web Access für Microsofts Exchange Server können Benutzer via Browser auf ein Exchange-Postfach zugreifen und über eine Web-Oberfläche E-Mails, Kontakte, Termine und Ähnliches verwalten.

Der Sicherheits-Patch für Outlook Web Access 5.5 steht ab sofort kostenlos zum Download bereit. Vor einer Einspielung des Patches empfiehlt Microsoft die Sicherung der ASP-Daten, da diese durch den Patch überspielt werden und dann neu angepasst werden müssten.