Ejecución de scripts en Exchange 5.5 OWA

Una de los servicios que más problemas está causando a los usuarios de
Exchange es el Outlook Web Access (OWA). En esta ocasión el problema
puede permitir la ejecución automática de scripts al acceder a un
mensaje.
Outlook Web Access (OWA) es un servicio de Exchange 5.5 Server que
permite a los usuarios acceder y manipular los mensajes existentes en su
carpeta Exchange mediante el uso de un navegador web. Existe un problema
en la forma en que se tratan los scripts incluidos en los mensajes en
Internet Explorer (IE).

Si un mensaje HTML que contenga un script especialmente creado se abre
en OWA, el script podrá llegar a ejecutarse automáticamente al abrir el
mensaje. Como OWA requiere que la posibilidad de scripting se encuentre
activada en la zona en la que el servidor OWA está localizado, esto
provoca una vulnerabilidad ya que dicho script podrá llevar a cabo
cualquier acción contra el buzón de correo del usuario, lo que incluye
enviar, mover o eliminar mensajes.

Un atacante podrá explotar este problema mediante el envío de un mensaje
especialmente manipulado a otro usuario. Si el usuario abre el mensaje
en OWA el script se ejecutará. Por el contrario, si el mensaje se lee en
un cliente de correo normal, en vez de en un navegador a través de OWA,
el ataque fallará.

Microsoft publica una actualización para Explorer 5.5, que se encuentra
disponible en la dirección:
http://download.microsoft.com/download/exch55/Patch/05.05.77.2655/NT45/EN-US/Q313576engi386.EXE

Por el momento esta actualización sólo está disponible para
instalaciones en inglés.

Más información:

Boletín de seguridad Microsoft (MS01-057)
http://www.microsoft.com/technet/security/bulletin/ms01-057.asp