Outlook Web Access是Microsoft Exchange中用于通过Web浏览器读取和发送邮件的工具。 Outlook Web Access在处理特定的数据编码时存在漏洞，远程攻击者可能利用此漏洞控制用户机器。 Outlook Web Access没有正确地处理某些UTF字符集标签，因此可能未经正确地过滤便显示了基于脚本的附件。如果攻击者发送了带有特制UTF编码邮件附件的话，就可能导致在用户浏览器环境中执行任意代码或读取敏感信息。 Microsoft Exchange Server 2003 SP2 Microsoft Exchange Server 2003 SP1 Microsoft Exchange Server 2000 SP3 临时解决方法： * 在运行Exchange Server的计算机上禁用Outlook Web Access（OWA）： 1. 单击“开始”，依次指向“所有程序”、“Microsoft Exchange”，然后单击“系统 管理器”。 2. 依次展开“服务器”、“服务器”、“协议”，然后展开“HTTP”。 3. 右键单击“Exchange 虚拟服务器”，然后单击“停止”。 * 禁止在OWA中作为Level2类型打开HTML附件： Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MSExchangeWEB\OWA 更新“Level2MIMETypes”以包括“text/html” 更新“Level2FileTypes”以包括“htm,html” * 禁止在OWA中作为Level1类型打开HTML附件： Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MSExchangeWEB\OWA 更新“Level1MIMETypes”以包括“text/html” 更新“Level1FileTypes”以包括“htm,html” 厂商补丁： Microsoft --------- Microsoft已经为此发布了一个安全公告（MS07-026）以及相应补丁:...
Outlook Web Access是Microsoft Exchange中用于通过Web浏览器读取和发送邮件的工具。 Outlook Web Access在处理特定的数据编码时存在漏洞，远程攻击者可能利用此漏洞控制用户机器。 Outlook Web Access没有正确地处理某些UTF字符集标签，因此可能未经正确地过滤便显示了基于脚本的附件。如果攻击者发送了带有特制UTF编码邮件附件的话，就可能导致在用户浏览器环境中执行任意代码或读取敏感信息。 Microsoft Exchange Server 2003 SP2 Microsoft Exchange Server 2003 SP1 Microsoft Exchange Server 2000 SP3 临时解决方法： * 在运行Exchange Server的计算机上禁用Outlook Web Access（OWA）： 1. 单击“开始”，依次指向“所有程序”、“Microsoft Exchange”，然后单击“系统 管理器”。 2. 依次展开“服务器”、“服务器”、“协议”，然后展开“HTTP”。 3. 右键单击“Exchange 虚拟服务器”，然后单击“停止”。 * 禁止在OWA中作为Level2类型打开HTML附件： Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MSExchangeWEB\OWA 更新“Level2MIMETypes”以包括“text/html” 更新“Level2FileTypes”以包括“htm,html” * 禁止在OWA中作为Level1类型打开HTML附件： Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MSExchangeWEB\OWA 更新“Level1MIMETypes”以包括“text/html” 更新“Level1FileTypes”以包括“htm,html” 厂商补丁： Microsoft --------- Microsoft已经为此发布了一个安全公告（MS07-026）以及相应补丁: MS07-026：Vulnerabilities in Microsoft Exchange Could Allow Remote Code Execution (931832) 链接：<a href="http://www.microsoft.com/technet/security/bulletin/ms07-026.mspx?pf=true" target="_blank">http://www.microsoft.com/technet/security/bulletin/ms07-026.mspx?pf=true</a>
