Falla en Outlook Web Access bajo Exchange 5.5 (MS01-057)

Esta página es un servicio gratuito de Video Soft BBS - SUBSCRIBASE en nuestras listas de correo.
Es usted nuestro visitante número

desde el 12 de agosto de 1996

Falla en Outlook Web Access bajo Exchange 5.5 (MS01-057)
	VSantivirus No. 527 - Año 6 - Lunes 17 de diciembre de 2001 Falla en Outlook Web Access bajo Exchange 5.5 (MS01-057) Por Alejandro Germán Rodríguez () Peligros_en_la_red-owner@onelist.com Una nueva falla, recientemente descubierta en Outlook Web Access (OWA)* bajo Exchange 5.5 permitiría, bajo ciertas circunstancias, que un script sea ejecutado contra la casilla de correos de un usuario. El problema se presentaría debido a un error de implementación en la función de filtrado de contenidos, ya que dada ciertas condiciones se podría crear un mail HTML, de manera especial, que posea un script que no sea detectado y éste se ejecute al acceder al mail malicioso. Outlook Web Access es un componente opcional de Microsoft Exchange 5.5 y 2000, que permite a los usuarios poder acceder a la bandeja de entrada mediante el uso de un navegador web. Esta falla, en caso de explotarse con éxito, permitiría realizar cualquier acción que el mismo usuario podría realizar en su casilla de correo con sus mensajes. Se debe tener instalado Internet Explorer 5.0 o superior, pero es recomendable que se posea IE 5.5 con SP2. Esta falla tiene varias restricciones para su explotación exitosa, como ser el hecho, que el mensaje debe ser visualizado con IE, ya que la utilización de cualquier otro cliente de correo impediría la ejecución del script, asimismo, este ataque no puede ser realizado en forma masiva, sino por el contrario, debe ser especialmente preparado para una víctima en particular. A pesar que esta falla ha sido catalogada como de riesgo moderado, los administradores de sistemas que utilicen las extensiones OWA en servidores Exchange 5.5 deben instalar el parche correspondiente previa lectura de las recomendaciones contenidas en el boletín de Microsoft. Parche para descargar www.microsoft.com/Downloads/Release.asp?ReleaseID=34402 Boletín de Microsoft www.microsoft.com/technet/security/bulletin/MS01-057.asp (*) Alejandro Germán Rodríguez Peligros_en_la_red-owner@onelist.com http://es.egroups.com/group/Peligros_en_la_red ICQ # 44796626 (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com