Schwächen in Outlooks Web Access

Die Sicherheitspezialisten von Infohacking haben wieder mal Outlook unter die Lupe genommen und ein Sicherheitsloch zutage gefördert. In einem Posting auf Bugtraq Webseite beschreiben sie, wie ein Angreifer den Skripting-Filter in Outlooks Web Access (OWA) ausschalten kann, so dass ein Angreifer in einer HTML-Mail enthaltenes JavaScript ausführen kann.

OWA wird in Verbindung mit einem Exchange-Server benutzt, um HTML-Mails über ein Webfrontend anzuschauen. Zum Schutz wird ein Filter aktiviert, der verhindern soll, dass im HTML-Dokument eingebetteter Code ausgeführt wird. Dazu wird in der URL der zu öffnenden Mail der Parameter Security=1 angegeben. Diesen Paramter fügt OWA normalerweise selbst an. Ruft man eine Mail ohne diesen Parameter ab, kann JavaScript ausgeführt werden. Der Trick besteht nun darin, eine Mail zu senden, die den Code bereits enthält sowie einen Link auf sich selbst, bei dem der Filter ausgeschaltet ist. Dazu muss ein Angreifer allerdings den Namen des Exchange-Servers wissen. Eine Mail an das Opfer mit einem Link auf den Server des Angreifers verrät den Exchange-Server: Klickt der Benutzer auf den Link wird im HTTP-Header der Referer, also die vorher besuchte Webserver, übertragen .

So konstruiert der gesamte Angriff scheinen mag, derlei Angriffe, auch als Cross-Site-Scripting-Angriffe (XSS) bezeichnet, werden immer häufiger. Auf den Seiten von Infohacking findet sich sogar ein Exploit, der zeigen soll, dass man nicht nur Cookies mit XSS stehlen kann (dab)