| 취약점ID |
21563 |
| 위험도 |
30 |
| 포트 |
80, ... |
| 프로토콜 |
TCP |
| 분류 |
CGI |
| 상세설명 |
해당 Microsoft Outlook Web Access 서비스는 원격 URI 전환(redirection) 취약점에 취약하다. Windows 2003에서 동작하는 Microsoft Outlook Web Access (OWA) 서비스는 원격지의 공격자가 URL 요청들을 새로운 곳으로 전환할(redirect) 수 있게 해 줄 수 있다. 이는 잠재적으로 악의적인 사람들이 피싱(phishing) 공격들을 유도하는 데 도용될 수 있다. 취약점은 인증에 성공한 사용자를 새로운 곳으로 방향을 전환시켜 주는 데에 있어 검증되지 않은 사용자 제공 인수를 사용하는 OWA에 있는 설계 상의 오류에 원인이 있다. 이것은 사용자를 속여 어떤 HTML 문서에서 신뢰하는 로그인 페이지로의 링크를 사용자가 악의적인 "url" 인수를 가지고 따라가게 함으로써 도용될 수 있다. 인증과정을 성공한 후에 사용자는 신뢰성 없는 (가짜) 사이트로 방향이 전환돼 버릴 것이다.
* 참고 사이트:
http://secunia.com/advisories/14144
http://seclists.org/lists/fulldisclosure/2005/Feb/0106.html
http://www.securitytracker.com/alerts/2005/Feb/1013086.html
http://archives.neohapsis.com/archives/fulldisclosure/2005-02/0001.html
http://exploitlabs.com/files/advisories/EXPL-A-2005-001-owa.txt
* 영향을 받는 플랫폼:
Microsoft Outlook Web Access Any version
Microsoft Windows 2003 Any version |
| 해결책 |
다음 사이트를 참고하여 Microsoft Exchange Server 2007 이상으로 업그레이드 하거나 신뢰성 없는 사이트나 email에서의 링크들은 따라가지 않는다.
http://www.microsoft.com/exchange/en-us/default.aspx |
| 관련 URL |
CVE-2005-0420 (CVE) |
| 관련 URL |
12459 (SecurityFocus) |
| 관련 URL |
19225 (ISS) |
|
