Vulnerabilidad de Seguridad UNAM-CERT-2015-069 Vulnerabilidades en Microsoft Exchange podría permitir la elevación de privilegios

Esta actualización de seguridad resuelve vulnerabilidades en Microsoft Exchange Server. La más grave de estas vulnerabilidades podría permitir elevación de privilegios si un usuario autenticado abre un enlace de una página web especialmente diseñada.

Fecha de liberación: 
09/06/2015
Última revisión: 
09/06/2015
Fuente: 
Microsoft Corp.
Riesgo: 
Alto
Problema de vulnerabilidad: 
Remoto
Tipo de vulnerabilidad: 
Elevación de privilegios
CVE ID: 

CVE-2015-1764

CVE-2015-1771

CVE-2015-2359

Sistemas afectados: 
Microsoft Windows Microsoft Exchange Server 2013 Cumulative Update 8 < 3062157
Microsoft Windows Microsoft Exchange Server 2013 Service Pack 1 < 3062157

Índice de explotabilidad

Vulnerabilidad de  peticiones falsificadas en servidores con Exchange CVE-2015-1764

Código de explotación consistente.

Vulnerabilidad de  peticiones falsificadas con Cross-Site en Exchange CVE-2015-1771

Código de explotación consistente.

Vulnerabilidad de inyección de HTML en Exchange CVE-2015-2359

Código de explotación consistente.

Descripción: 

Vulnerabilidad de  peticiones falsificadas en servidores con Exchange CVE-2015-1764

Existe una vulnerabilidad de divulgación de información en aplicaciones web de Microsoft Exchange cuando Exchange no maneja de manera adecuada la política del mismo origen.

Vulnerabilidad de  peticiones falsificadas con Cross-Site en Exchange CVE-2015-1771

Existe una vulnerabilidad de elevación de privilegios en aplicaciones web de Microsoft Exchange cuando Exchange no maneja de manera adecuada las sesiones de usuarios.

Vulnerabilidad de inyección de HTML en Exchange CVE-2015-2359

Existe una vulnerabilidad de divulgación de información en aplicaciones web de Microsoft Exchange cuando Exchange no maneja de manera adecuada el escaneo de cadenas HTML.

Impacto: 

Vulnerabilidad de  peticiones falsificadas en servidores con Exchange CVE-2015-1764

Un atacante podría axplotar esta vulnerabilidad con peticiones falsificadas del lado del servidor (SSRF) mediante el uso de una solicitud de aplicación web especialmente diseñada. Un atacante que explote por completo esta vulnerabilidad podría:

Escanear y atacar el sistema que se encuentra detrás de un firewall que normalmente son inaccesibles desde el resto del mundo.

Enumerar y atacar los servicios que se ejecutan en los sistemas host.

Explotar los servicios de autenticación basados en el host.

Vulnerabilidad de  peticiones falsificadas con Cross-Site en Exchange CVE-2015-1771

En caso de un ataque basado en web el intruso podría alojar un sitio web (o aprovechar un sitio web comprometido que acepte o reciba contenido proporcionado por el usuario) que contiene una página web especialmente diseñada para explotar esta vulnerabilidad.

Vulnerabilidad de inyección de HTML en Exchange CVE-2015-2359

Para explotar esta vulnerabilidad de inyección HTML un atacante debe tener la posibilidad de enviar una secuencia de comandos especialmente diseñados a un sitio que utilice el escaneo de HTML. 

Referencias: 

La Coordinación de Seguridad de la Información/UNAM-CERT agradece el apoyo en la elaboración ó traducción y revisión de éste Documento a:

  • Manuel Ignacio Quintero Martínez (mquintero at seguridad dot unam dot mx)
  • Edgar Israel Rubi Chavez (erubi at seguridad dot unam dot mx)
Vulnerabilidades en Microsoft Exchange podría permitir la elevación de privilegios