IT 之家 11 月 19 日消息，微軟在 11 月的 Patch Tuesday 中發布了針對 Exchange Server 的安全更新，旨在修複 CVE-2024-49040 漏洞，不過反而造成部分郵件系統停止收發郵件。微軟現發布報告承認相關問題，并宣布撤回更新，計劃未來重新發布修複後的版本。
微軟在報告中表示，他們發現該更新可能導緻 Exchange Server 傳輸規則（Transport Rules）偶爾暫停，初步調查顯示，這種情況發生在使用自定義傳輸規則或數據丢失防護（DLP）規則的用戶中。目前相關更新已予以撤回，在新更新補丁發布以前，微軟建議所有企業移除 11 月的安全更新。
IT 之家獲悉，微軟試圖修複的 CVE-2024-49040 漏洞在 CVSS 3.1 版本中風險評分爲 7.5，屬于僞造漏洞，主要影響 Exchange Server 2016 和 2019 版本，黑客可在惡意郵件中将自己僞裝成 " 合法發件人 "。
據悉，相關漏洞源于郵件傳輸過程中 Exchange Server 對 P2 FROM 頭的驗證不當，使得不符合 RFC 5322 頭格式的郵件也能通過，并在 Microsoft Outlook 中顯示爲合法郵件。
考慮到微軟在上周發文警告 CVE-2024-49040 漏洞已被黑客用于攻擊，因此微軟應當會以相當快的速度修複目前的問題，重新發布新版安全更新補丁。
