发布日期：2015 年 9 月 8 日
版本： 1.0
执行摘要此安全更新程序可修复 Microsoft Exchange Server 中的多个漏洞。如果 Outlook Web Access (OWA) 未正确处理 Web 请求和清理用户输入和电子邮件内容，最严重的漏洞可能允许信息泄漏。
对于 Microsoft Exchange Server 2013 的所有受支持版本，此安全更新程序的等级为“重要”。有关详细信息，请参阅受影响的软件部分。
此安全更新通过更正 Microsoft Exchange OWA 处理 Web 请求和帮助确保 OWA 正确清理用户输入和电子邮件内容的方式来修复漏洞。有关这些漏洞的详细信息，请参阅“漏洞信息”一节。
有关此更新的详
缓解因素Microsoft 并未发现这些漏洞的任何缓解因素。
变通办法Microsoft 并未发现这些漏洞的任何变通办法。
安全更新程序部署有关安全更新部署信息，请参阅执行摘要中此处引用的 Microsoft 知识库文章。
鸣谢Microsoft 通过协调漏洞披露渠道认可在安全社区中帮助我们对客户进行保护的人们所做出的努力。有关详细信息，请参阅鸣谢部分。
免责声明Microsoft 知识库中的信息“按原样”提供，没有任何形式的担保。Microsoft 不作任何明示或暗示保证，包括对适销性和针对特定目的的适用性的保证。Microsoft Corporation 或其供应商不对任何损害（包括直接的、间接的、偶然的、必然的损害，商业利润损失，或特殊损害）承担任何责任，即使 Microsoft Corporation 或其供应商事先已被告知有可能发生此类损害。有些州不允许排除或限制必然或偶然损害的赔偿责任，因此上述限制可能不适用。
细信息，请参阅 Microsoft 知识库文章 3089250。
漏洞信息 Exchange 信息泄漏漏洞 - CVE-2015-2505当 Microsoft Outlook Web Access (OWA) 未能正确处理 Web 请求时，Microsoft Exchange Server 中存在信息泄漏漏洞。成功利用此漏洞的攻击者可以发现堆栈跟踪详细信息。
要利用此漏洞，攻击者必须创建经特殊设计的 Web 应用程序请求，然后将请求提交给 Web 应用程序。该安全更新通过更正 Microsoft Exchange OWA 处理 Web 请求的方式来修复此漏洞。
在发布此安全公告时，Microsoft 未收到任何表明此漏洞已公开用于攻击客户的信息。
缓解因素Microsoft 并未发现此漏洞的任何缓解因素。
变通办法Microsoft 并未发现此漏洞的任何变通办法。
多个 Exchange 欺骗漏洞当 OWA 未正确清理经特殊设计的电子邮件时，Microsoft Exchange Server 中存在欺骗漏洞。经过身份验证的攻击者可以通过向用户发送经特殊设计的电子邮件来利用这些漏洞。然后，攻击者可以在受影响的系统上执行 HTML 注入攻击，并尝试欺骗用户泄漏敏感信息。
要利用此漏洞，用户必须单击经特殊设计的 URL。在电子邮件攻击情形中，攻击者可以通过 OWA 向用户发送经特殊设计的电子邮件，企图诱使用户单击此电子邮件。
在基于 Web 的攻击情形中，攻击者必须拥有一个让用户感觉合法的恶意网站。但是，攻击者无法强迫用户访问此恶意网站。攻击者必须诱使用户访问此恶意网站，方法通常是引诱用户单击 Instant Messenger 或电子邮件消息中的链接以使用户链接到攻击者的恶意网站，然后诱使用户使用此恶意网站上的内容。
该安全更新通过帮助确保 OWA 正确清理电子邮件内容来修复漏洞。