发布日期：2016 年 1 月 12 日
版本： 1.0
执行摘要此安全更新可修复 Microsoft Exchange Server 中的多个漏洞。如果 Outlook Web Access (OWA) 未正确处理 Web 请求和清理用户输入和电子邮件内容，则其中最严重的漏洞可能允许欺骗。
对于 Microsoft Exchange Server 2013 和 Microsoft Exchange Server 2016 的所有受支持版本，此安全更新的等级为“重要”。有关详细信息，请参阅受影响的软件部分。
此安全更新通过更正 Microsoft Exchange OWA 验证 Web 请求和帮助确保 OWA 正确清理用户输入和电子邮件内容的方式来修复漏洞。有关这些漏洞的详细信息，请参阅“漏洞信息”一节。
漏洞信息 多个 Exchange 欺骗漏洞当 Outlook Web Access (OWA) 未能正确处理 Web 请求时，Microsoft Exchange Server 中存在多个欺骗漏洞。成功利用这些漏洞的攻击者可能会进行脚本或内容注入攻击，并试图欺骗用户泄漏敏感信息。攻击者还可能会将用户重定向到可能欺骗内容或用作中介链接攻击和 Web 服务中其他漏洞的恶意网站。
要利用此漏洞，攻击者可能需要向用户发送经特殊设计的含恶意链接的电子邮件。攻击者也可能使用聊天客户端以社交方式诱使用户单击恶意链接。但是在这两个示例中，用户都必须单击恶意链接。此安全更新通过更正 OWA 验证 Web 请求的方式来修复这些漏洞。
缓解因素以下缓解因素在您遇到的情形中可能会有所帮助：
要生成恶意链接，攻击者必须是已经通过身份验证的 Microsoft Exchange 用户，并且可以发送电子邮件。恶意链接可作为电子邮件发送，但攻击者必须说服用户打开链接以利用此漏洞。