📋 漏洞概述

Microsoft Exchange Server 的 Outlook Web Access 组件存在跨站脚本漏洞，攻击者可注入并执行任意 JavaScript 代码。

📋 基础信息

🔬 漏洞根因

漏洞源于 Exchange Server 的 Outlook Web Access (OWA) 组件在生成 web 页面时，未能对用户输入或从外部数据源引入的内容进行充分的编码或过滤。攻击者能够将恶意 JavaScript 代码注入到参数或消息正文中，当其他用户（包括管理员）通过 OWA 访问特定页面时，这些代码会在浏览器中未经清理地执行。推测具体缺陷可能存在于邮件内容的 HTML 渲染引擎或自定义表单处理逻辑中，缺乏对 `onload`、`onerror` 等事件处理器或 `<script>` 标签的严格限制。

🎯 攻击场景

1. 攻击者构造一封包含恶意 JavaScript 载荷的电子邮件（例如，在 HTML 格式邮件的 `<img src=x onerror=alert(1)>` 或精心伪造的日历邀请、任务描述中）。 2. 攻击者将该邮件发送给目标组织的 Exchange 用户（或利用公开的 OWA 发送功能）。 3. 目标用户通过 Outlook Web Access 登录并查看该邮件，OWA 在渲染邮件内容时未能正确转义 HTML 标签及事件属性。 4. 恶意 JavaScript 在用户的浏览器上下文中执行，攻击者可以窃取用户的会话 Cookie、获取OWA页面访问权限、伪造邮件或进行后续的 OAuth 令牌劫持（推测）。 5. 成功标志：攻击者在受害用户浏览器中执行任意 JS，实现会话劫持或敏感信息窃取。

💥 漏洞影响

该漏洞允许攻击者在受害用户的浏览器中执行任意 JavaScript 代码，导致敏感信息泄露（如会话 Cookie、OWA 访问令牌）、账户接管、邮件内容篡改或转发，以及向其他用户传播恶意载荷。虽然不能直接获得服务器控制权，但结合 OWA 中的其他逻辑缺陷（推测），可能进一步升级为网络钓鱼或内部网络侦察。影响范围覆盖所有使用 OWA 的 Exchange 环境。

🛡️ 修复建议

1. 升级 Exchange Server 到包含此漏洞补丁的最新累积更新（CU）或安全更新（待 Microsoft 发布）。 2. 临时缓解措施：启用 OWA 中的内容过滤策略（如 `Set-OwaVirtualDirectory -OutboundCharset utf-8`），并设置严格的 `X-XSS-Protection` 和 `Content-Security-Policy` HTTP 响应头。 3. 遵循 Microsoft 官方指南（如 BOD 22-01）对云服务进行配置，若无法及时修补，建议禁用 OWA 的 HTML 邮件预览功能（通过 `Set-OwaMailboxPolicy -HtmlMail $false`）或限制 OWA 访问范围。

📎 参考链接

• https://nvd.nist.gov/vuln/detail/CVE-2026-42897
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2026-42897
• 原始来源（CISA-KEV）

🚨 威胁评估

⚠️ 本文由漏洞情报系统自动生成，仅供安全研究与防御参考。生成时间: 2026-05-16 08:05 | 来源: CISA-KEV