Microsoft Exchange Server Spoofing Vulnerability

Vulnerabilidade de cross-site scripting (CWE-79) no Microsoft Exchange Server, especificamente na geração de páginas do Outlook Web Access (OWA). O MSRC classifica como falha de 'spoofing', mas a CISA e o CWE atribuído (79) descrevem o mecanismo real: em certas condições de interação, JavaScript arbitrário roda no contexto do navegador da vítima. Está no catálogo KEV da CISA com exploração confirmada e existe PoC pública, o que eleva a prioridade prática mesmo com CVSS moderado-alto (8.1) e exigência de interação do usuário.

A falha ocorre durante a geração de páginas web pelo OWA — o componente de webmail do Exchange. Conteúdo controlado por um atacante (provavelmente parte de uma mensagem de e-mail ou de um recurso renderizado pela interface) não é neutralizado corretamente antes de ser injetado na página HTML servida ao usuário autenticado, permitindo execução de script no contexto de origem do OWA.

O vetor CVSS 3.1 (AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N) indica ataque via rede, baixa complexidade, sem necessidade de privilégios do atacante, mas com interação obrigatória da vítima (UI:R) — típico de um payload que precisa ser aberto, visualizado ou clicado dentro do OWA. O impacto é alto em confidencialidade e integridade (C:H/I:H) e nulo em disponibilidade (A:N), consistente com um XSS que permite roubo de sessão, leitura de e-mails, ou ações realizadas em nome da vítima dentro do webmail — não uma negação de serviço.

A divergência entre o título oficial ('Spoofing Vulnerability') e a classificação técnica (CWE-79, Cross-Site Scripting, conforme a entrada do catálogo KEV) é relevante: o MSRC tende a rotular XSS que resulta em falsificação de conteúdo/contexto como 'spoofing', mas o mecanismo de exploração e a mitigação são os de uma injeção de script clássica.

As fontes disponíveis não detalham o parâmetro, endpoint ou funcionalidade específica do OWA onde a sanitização falha — essa informação não foi divulgada publicamente até o momento desta análise, o que limita a precisão de qualquer regra de detecção baseada em assinatura de payload.

O ataque exige que a vítima esteja autenticada no OWA e realize alguma interação — abrir um e-mail, clicar em um link ou visualizar um item malicioso — que dispare a renderização do payload injetado. Não é necessário que o atacante tenha credenciais válidas no Exchange (PR:N), mas ele precisa conseguir entregar o conteúdo malicioso até a caixa de entrada ou interface da vítima, geralmente via e-mail.

A CISA confirma exploração ativa (presença no catálogo KEV, adicionado em 2026-05-15) e existe PoC pública, o que reduz a barreira técnica para reprodução por terceiros. O campo EPSS relativamente baixo (0,0564) sugere que a probabilidade de exploração em massa, apesar da confirmação de uso real, ainda é modesta — coerente com um ataque que depende de engenharia social (a interação do usuário) e de a organização expor OWA de forma acessível ao atacante ou ao vetor de entrega do payload.

O resultado prático de uma exploração bem-sucedida é execução de script no contexto do OWA da vítima: possível roubo de token de sessão, leitura de conteúdo de caixa de correio, ou ações realizadas com os privilégios da vítima dentro da interface web — não há indicação de execução de código no servidor nem de escalonamento a nível de sistema operacional.

A CISA determinou prazo até 2026-05-29 para aplicação de mitigações conforme instrução do fornecedor (BOD 22-01 para serviços em nuvem, ou descontinuação do produto se não houver mitigação disponível). As fontes disponíveis não trazem o número de build/atualização de segurança específica publicada pelo MSRC para cada branch afetado — essa informação deve ser confirmada diretamente no advisory oficial do MSRC antes de qualquer decisão de patching, já que não está detalhada no material lido.

Como paliativo enquanto o patch não é aplicado, o Exchange Emergency Mitigation Service (EMS), citado nas notas adicionais do KEV, é o mecanismo nativo do Exchange para aplicar mitigações temporárias distribuídas pela própria Microsoft sem exigir instalação manual imediata do CU/patch — mas isso é uma mitigação, não uma correção definitiva, e depende do EMS estar habilitado e conectado à internet para receber as regras.

Controles compensatórios genéricos contra XSS em OWA incluem reforçar políticas de Content Security Policy no proxy reverso/WAF em frente ao Exchange e treinar usuários contra abertura de conteúdo suspeito, mas nenhum desses substitui a atualização — eles reduzem superfície, não eliminam a falha de sanitização no código do produto.

Não há assinatura de exploração publicamente detalhada nas fontes disponíveis. Como o vetor é XSS em OWA disparado por interação do usuário, procurar em logs de OWA/IIS por requisições com conteúdo de e-mail contendo tags de script, atributos de evento HTML (onload, onerror etc.) ou codificação incomum em cabeçalhos/corpo de mensagens processadas pelo Exchange. Monitorar também atividade anômala de sessão de usuários OWA imediatamente após abertura de mensagens suspeitas — indicativo de roubo de token pós-exploração. Na ausência de IOC oficial divulgado pela Microsoft ou CISA para esta CVE específica, a detecção confiável depende de análise comportamental, não de assinatura estática.