[SECURITY-L] CAIS-Alerta: Vulnerabilidades no Microsoft Outlook Web Access (MS08-039)

[CSIRT - UNICAMP]

----- Forwarded message from Centro de Atendimento a Incidentes de Seguranca <cais em cais.rnp.br> -----

From: Centro de Atendimento a Incidentes de Seguranca <cais em cais.rnp.br>
Subject:  CAIS-Alerta: Vulnerabilidades no Microsoft Outlook Web Access
 (MS08-039)
To: pop-seg em cais.rnp.br, rnp-alerta em cais.rnp.br, rnp-seg em cais.rnp.br
Date: Thu, 10 Jul 2008 16:12:05 -0300 (BRT)

-----BEGIN PGP SIGNED MESSAGE-----


Prezados,

O CAIS esta' repassando o alerta da Microsoft, intitulado "MS08-039 - 
Vulnerabilities in Outlook Web Access for Exchange Server Could Allow 
Elevation of Privilege (953747)", que trata de duas vulnerabilidades no 
Outlook Web Access (OWA) para Microsoft Exchange Server.

Estas vulnerabilidades sao do tipo cross-site scripting (XSS). A 
vulnerabilidade descrita em CVE-2008-2247 esta' na validacao de dados, 
enquanto a vulnerabilidade descrita em CVE-2008-2248 esta' no tratamento 
de conteudo HTML.

Para explorar estas vulnerabilidades um atacante precisa convencer um 
usuario de um sistema vulneravel a abrir uma mensagem maliciosa. Se o 
atacante tiver sucesso este script malicioso incluido nesta mensagem sera' 
executado e podera' realizar as mesmas acoes que o usuario em questao 
puder, como ler, enviar e apagar mensagens.


Sistemas afetados:

. Microsoft Exchange Server 2003 Service Pack 2
. Microsoft Exchange Server 2007
. Microsoft Exchange Server 2007 Service Pack 1


Correcoes disponiveis:

Recomenda-se fazer a atualizacao para as versoes disponiveis em :

. Microsoft Exchange Server 2003 Service Pack 2
  http://www.microsoft.com/downloads/details.aspx?familyid=E099C1D1-5AF6-4D6C-B735-9599412B3131

. Microsoft Exchange Server 2007
  http://www.microsoft.com/downloads/details.aspx?familyid=086A2A13-A1DE-4B1D-BD12-B148BFD2DAFA

. Microsoft Exchange Server 2007 Service Pack 1
  http://www.microsoft.com/downloads/details.aspx?familyid=63E7F26C-92A8-4264-882D-F96B348C96AB


Mais informacoes:

. MS08-039 - Vulnerabilities in Outlook Web Access for Exchange Server Could Allow Elevation of Privilege (953747)
  http://www.microsoft.com/technet/security/Bulletin/MS08-039.mspx

. SANS ISC Handler's Diary 2008-07-08: July 2008 black tuesday overview
  http://isc.sans.org/diary.html?storyid=4684

. Microsoft Brasil Security
  http://www.microsoft.com/brasil/security

. Technet Brasil - Central de Seguranca
  http://www.technetbrasil.com.br/seguranca

. Windows Live OneCare
  http://safety.live.com/site/pt-BR/default.htm


Identificador CVE (http://cve.mitre.org): CVE-2008-2247, CVE-2008-2248


O CAIS recomenda que os administradores mantenham seus sistemas e 
aplicativos sempre atualizados, de acordo com as ultimas versoes e 
correcoes oferecidas pelos fabricantes.


Os Alertas do CAIS tambem sao oferecidos no formato RSS/RDF:
http://www.rnp.br/cais/alertas/rss.xml


Atenciosamente,

################################################################
#   CENTRO DE ATENDIMENTO A INCIDENTES DE SEGURANCA (CAIS)     #
#       Rede Nacional de Ensino e Pesquisa (RNP)               #
#                                                              #
# cais em cais.rnp.br       http://www.cais.rnp.br                #
# Tel. 019-37873300      Fax. 019-37873301                     #
# Chave PGP disponivel   http://www.rnp.br/cais/cais-pgp.key   #
################################################################
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.6 (GNU/Linux)
Comment: Made with pgp4pine 1.76

iQCVAwUBSHZfD+kli63F4U8VAQFm1wQAlZEv5DGnflnmuz2EOXNJFb6gq+pVxEpV
smCZ9akymlboSNlzwr8eFQ5fXpzDVAfCHeHxdAOXLTDAjS4GE2tQ/7WHcRnfyx+c
Dj+xnxsZ+z5i7ZUYRksIJ9cqElaqMdm+MLZRTCWWmVxxe7xeACcwvd0U2V3WT1E2
NncHiO67pNM=
=UCFW
-----END PGP SIGNATURE-----


--
Para SAIR da lista rnp-alerta envie uma mensagem em branco para:

    <rnp-alerta-unsubscribe em cais.rnp.br>



----- End forwarded message -----