Outlook Web Access (OWA) in Microsoft Exchange Server 2013 SP1, Cumulative Update 11, and Cumulative Update 12 and 2016 Gold and Cumulative

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• microsoft outlook web accessвсе версии

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2021-34523Microsoft Exchange Server Elevation of Privilege VulnerabilityKEV
  96Срочно
• CVE-2021-34473Microsoft Exchange Server Remote Code Execution VulnerabilityKEV
  96Срочно
• CVE-2021-26855Microsoft Exchange Server Remote Code Execution VulnerabilityKEV
  96Срочно
• CVE-2022-41040Microsoft Exchange Server Elevation of Privilege VulnerabilityKEV
  95Срочно
• CVE-2020-0688A remote code execution vulnerability exists in Microsoft Exchange software when the software fails to properly handle objects in memory, akKEV
  95Срочно
• CVE-2021-42321Microsoft Exchange Server Remote Code Execution VulnerabilityKEV
  93Срочно

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Расширение запрашивает более широкие разрешения, чем требуется для его функции, и отправляет собранные данные вовне для целей, не связанных с его назначением.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1{2  "permissions": ["tabs", "<all_urls>"],3  "background": { "service_worker": "analytics.js" }4}

1{2  "permissions": ["activeTab"],3  "host_permissions": ["https://yildiz.example/*"]4}

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.