[NEWS] Microsoft Exchange Server TNEF Decoding Remote Code Execution Vulnerability

[c.m.g]

10 febbraio 2009

Security Focus riporta un bollettino dio sicurezza (Bugtraq ID 33134) riguardante Microsoft Exchange Server in cui si spiega che è stata trovata una vulnerabilità che esporrebbe il computer di un utente ignaro ad attacchi di tipo remote code-execution.

Attacker da remoto possono sfruttare questa falla per spedire dati TNEF-encoded email creati ad hoc a dei servers vulnerabili. Questa falla può essere sfruttata ad esempio, traendo in inganno un utente a visionare o a vedere un'anteprima dell'email malevola creata ad hoc da malintenzionati.

Lo sfruttamento con successo di questa falla potrebbe permettere a malintenzionati di far eseguire codice arbitrario malevolo sul computer affetto nel contesto dell'applicazione fallata.

Versioni fallate:
Microsoft Exchange Server 2007 SP 1
Microsoft Exchange Server 2007 0
Microsoft Exchange Server 2003 SP2
Microsoft Exchange Server 2003 SP1
Microsoft Exchange Server 2003
Microsoft Exchange Server 2000 SP3
Microsoft Exchange Server 2000 SP2
- Microsoft Windows 2000 Advanced Server SP2
- Microsoft Windows 2000 Advanced Server SP1
- Microsoft Windows 2000 Advanced Server
- Microsoft Windows 2000 Datacenter Server SP2
- Microsoft Windows 2000 Datacenter Server SP1
- Microsoft Windows 2000 Datacenter Server
- Microsoft Windows 2000 Server SP2
- Microsoft Windows 2000 Server SP1
- Microsoft Windows 2000 Server
Microsoft Exchange Server 2000 SP1
- Microsoft Windows 2000 Advanced Server SP2
- Microsoft Windows 2000 Advanced Server SP1
- Microsoft Windows 2000 Advanced Server
- Microsoft Windows 2000 Datacenter Server SP2
- Microsoft Windows 2000 Datacenter Server SP1
- Microsoft Windows 2000 Datacenter Server
- Microsoft Windows 2000 Server SP2
- Microsoft Windows 2000 Server SP1
- Microsoft Windows 2000 Server
Microsoft Exchange Server 2000
- Microsoft Windows 2000 Advanced Server SP2
- Microsoft Windows 2000 Advanced Server SP1
- Microsoft Windows 2000 Advanced Server
- Microsoft Windows 2000 Datacenter Server SP2
- Microsoft Windows 2000 Datacenter Server SP1
- Microsoft Windows 2000 Datacenter Server
- Microsoft Windows 2000 Server SP2
- Microsoft Windows 2000 Server SP1
- Microsoft Windows 2000 Server
Avaya Messaging Application Server MM 3.1
Avaya Messaging Application Server MM 3.0
Avaya Messaging Application Server MM 2.0
Avaya Messaging Application Server MM 1.1
Avaya Messaging Application Server 0

Soluzione:
Il produttore ha rilasciato i bollettini di sicurezza e i relativi fix, per maggiori info, leggere questa pagina.

Falla scoperta da:
Scoperta dal produttore.

Classe falla:
Failure to Handle Exceptional Conditions

Advisory d'origine:
http://support.avaya.com/elmodocs2/s...A-2009-054.htm
http://support.microsoft.com/kb/959239
http://www.microsoft.com/technet/sec.../MS09-003.mspx



Fonte: SecurityFocus

[c.m.g]

Exchange Server TNEF Decoding and MAPI Command Processing Vulnerabilities su secunia

Patch urgenti per IE ed Exchange su punto informatico