发布时间：2016年9月13日
版本：1.0
执行摘要
此安全更新可修复 Microsoft Exchange Server 中的多个漏洞。如果攻击者向易受攻击的 Exchange 服务器发送附带经特殊设计的
附件的电子邮件，则其中最严重的漏洞可能允许在构建到 Exchange Server 中的 Oracle Outside In 库中远程执行代码。
对于 Microsoft Exchange Server 2007、Microsoft Exchange Server 2010、Microsoft Exchange Server 2013 和 Microsoft
Exchange Server 2016 的所有受支持版本，此安全更新的等级为“严重”。有关详细信息，请参阅受影响的软件和漏洞严重等级部
分。
此安全更新通过更正 Microsoft Exchange 的以下行为方式来修复漏洞：
分析某些非结构化的文件格式。
处理开放重定向请求。
处理 Microsoft Outlook 会议邀请请求。
有关这些漏洞的详细信息，请参阅漏洞信息部分。
有关此更新的详细信息，请参阅 Microsoft 知识库文章 3185883。
Oracle Outside In 库漏洞
此安全更新可修复 Oracle Critical Patch Update Advisory – July 2016（Oracle 关键修补程序更新通告 - 2016 年 7 月）中描述的
以下漏洞：
远程执行代码：CVE-2016-3575、CVE-2016-3581、CVE-2016-3582、CVE-2016-3583、CVE-2016-3595、CVE-2016-3594、
CVE-2015-6014、CVE-2016-3593、CVE-2016-3592、CVE-2016-3596、CVE-2016-3591
信息泄漏：CVE-2016-3574
拒绝服务：CVE-2016-3576、CVE-2016-3577、CVE-2016-3578、CVE-2016-3579、CVE-2016-3580、CVE-2016-3590
更新程序常见问题解答
Microsoft 为什么发布针对第三方代码 Oracle Outside In 库中的漏洞的安全更新？
Microsoft 特定于使用第三方代码的产品授权 Oracle Outside In 库的自定义实施。Microsoft 发布此安全更新，可帮助确保在
Microsoft Exchange 中使用此第三方代码的所有客户都免遭这些漏洞的攻击。有关这些漏洞的详细信息，请参阅 Oracle Critical
Patch Update Advisory – July 2016（Oracle 关键修补程序更新通告 - 2016 年 7 月）。
Microsoft Exchange 开放重定向漏洞 - CVE-2016-3378
Microsoft Exchange 中存在的开放重定向漏洞可能导致欺骗。为了利用此漏洞，攻击者可能会发送一个具有经特殊设计的 URL 的
链接，并诱使用户单击该链接。当经过身份验证的 Exchange 用户单击该链接时，该经过身份验证的用户的浏览器会话可能被重定
向到专门设计为模拟合法网站的恶意网站。这样，攻击者可能欺骗用户并有意获取用户的凭据等敏感信息。