Cross-Site Scripting (XSS) affectant Microsoft Exchange Server
Une vulnérabilité affectant Microsoft Exchange Server pourrait permettre à un attaquant d'exécuter des scripts intersites (XSS) dans le navigateur des utilisateurs.
Description
Contexte technique et détails de la vulnérabilité
Microsoft Exchange Server est une solution de messagerie et de collaboration développée par Microsoft, largement déployée en entreprise pour la gestion des courriels, calendriers et contacts. Cette solution est affectée par une vulnérabilité libellée CVE-2026-42897, résultant d'une validation incorrecte des entrées lors de la génération des pages web du composant Outlook Web Access (OWA). Son exploitation permettrait à un attaquant non authentifié, en envoyant un courriel spécialement conçu à un utilisateur qui l'ouvre dans OWA, d'exécuter des scripts JavaScript arbitraires dans le navigateur de la victime, pouvant conduire à une usurpation d'identité ou à la compromission du compte de messagerie. Elle est classée haute avec un score de sévérité de 8.1 selon le CVSS V3.1.
Impact & Risques potentiels
Conséquences potentielles en cas d'exploitation
- Exécution de scripts intersites (XSS) dans le navigateur de la victime ;
- Usurpation de l'identité de l'utilisateur connecté ;
- Vol de session ou de données sensibles ;
- Compromission du compte de messagerie de l'utilisateur.
Systèmes affectés
Produits, composants et versions concernés
- Exchange Server 2016 CU23 ;
- Exchange Server 2019 CU14 et CU15 ;
- Exchange Server SE RTM.
Mesures & Remédiations recommandées
Actions immédiates et correctifs recommandés
- Activer le service Exchange Emergency Mitigation (EM Service) afin d'appliquer automatiquement les mesures d'atténuation publiées par Microsoft ;
- Mettre à jour Microsoft Exchange Server vers les versions corrigées dès leur disponibilité ;
- Vérifier l'état des mesures d'atténuation appliquées à l'aide de l'outil Exchange Health Checker : https://aka.ms/ExchangeHealthChecker.
Sources & Liens externes
Avis constructeurs et bulletins de référence
Fiche Technique
Cellule d'Urgence CSIRT
Votre infrastructure est-elle affectée ou suspectez-vous un incident ? Nos experts sont mobilisables pour intervenir.
Signaler un incidentRecevez nos alertes par email
Abonnez-vous pour recevoir nos bulletins d'alerte de sécurité et les actualités d'Iservices directement dans votre boîte mail.