Microsoft Exchange Outlook Web Access权限提升漏洞

CNVD-ID CNVD-2018-05890 公开日期 2018-03-21 危害级别 高 (AV:N/AC:L/Au:N/C:P/I:P/A:P) 影响产品 Microsoft Exchange Server 2013 SP1，Update 8
Microsoft Exchange Server 2013 Cumulative Update 18
Microsoft Exchange Server 2013 Cumulative Update 19
Microsoft Exchange Server 2016 Cumulative Update 7
Microsoft Exchange Server 2016 Cumulative Update 8
Microsoft Exchange Server 2010 SP3 Update Rollup 20
BUGTRAQ ID 103323
CVE ID CVE-2018-0940
漏洞描述 Microsoft Exchange Server 2010 SP3等都是美国微软（Microsoft）公司的电子邮件服务程序，它提供邮件存取、储存、转发，语音邮件，邮件过滤筛选等功能。Exchange Outlook Web Access（OWA）是其中的一个Web客户端应用程序。

Microsoft Exchange OWA中存在提权漏洞，该漏洞源于程序未能正确的过滤发送到用户链接。攻击者可通过发送带有恶意链接的特制邮件利用该漏洞用伪造的登录页面覆盖OWA界面，并诱使用户泄露敏感信息。
漏洞类型 通用型漏洞 参考链接 https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2018-0940
https://www.securityfocus.com/bid/103323
漏洞解决方案 目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2018-0940
厂商补丁 Microsoft Exchange Outlook Web Access权限提升漏洞的补丁 验证信息 (暂无验证信息) 报送时间 2018-03-16 收录时间 2018-03-21 更新时间 2018-03-21 漏洞附件 (无附件)