微软将大量文件类型加入Outlook的黑名单中

微软上周宣布，它将立刻扩大Outlook Web中的文件扩展名黑名单，用户将无法下载此类附件。

微软特别指出，新进入黑名单的文件类型很少被使用，这意味着大多数公司组织在遇到这一新变动时不会产生太大问题。

此次涉及的文件类型包括一些常用编程语言所衍生的文件，如“.py”、“.pyc”、“.pyo”、“.pyw”、“.pyz”、“.pyzw”（涉及Python）；“.ps1”、“.ps1xm l”、“.ps2”、“.ps2xm l”、“.psc1”、“.psc2”、“.psd1”、“.psd1”、“.psd1”、“.psd1”、“.psdm1”，“.cdxm l”和“.pssc”（涉及powershell）；以及“.jar”和“.jnlp”（涉及java）。

此外，还有“.appcontent ms”、“.settingcontent ms”、“.cnt”、“.hpj”、“.website”、“.webpnp”、“.mcf”、“.printerexport”、“.pl”、“.theme”、“.vbp”、“.xbap”、“.xll”、“.xnk”、“.msu”、“.diagcab”和“.grp”等扩展名也在黑名单中。

而Windows ClickOnce所涉及的扩展名“.appref-ms”、Microsoft数据访问组件（MDAC）所涉及扩展名为“.udl”、Windows沙盒所涉及的扩展名“.wsb”和“.cer”，与数字证书相关的“.crt”和“.der”扩展名也未能幸免。

根据微软发布的公告，之所以禁用某些扩展名，是因为涉及到一些影响巨大的漏洞。虽然这些漏洞早已公开，相应的安全补丁也已出现，但不少公司组织仍在使用旧版本。因此，为了用户的利益，这些文件扩展名会被列入黑名单：

“.appcontent ms”、“.settingcontent ms”、“.cnt”、“.hpj”、“.website”、“.webpnp”、“.mcf”、“.printerexport”、“.pl”、“.theme”、“.vbp”、“.xbap”、“.xll”、“.xnk”、“.msu”、“.diagcab”、“.grp”

如果用户希望将特定的文件类型放入白名单，可以将某个文件类型添加到用户的OwaMailboxPolicy对象的AllowedFileTypes属性中。具体来说，你可以执行以下命令实现这一操作：

$policy = Get-OwaMailboxPolicy [policy name]
$allowedFileTypes = $policy.AllowedFileTypes
$allowedFileTypes.Add(".foo")
Set-OwaMailboxPolicy $policy -AllowedFileTypes $allowedFileTypes

微软最后总结道：“客户数据的安全性是我们的首要任务，我们希望广大客户能够理解并赞成这一变化。也许这会造成一些负面影响，但我们希望所有人能够理解我们正在做什么以及为什么要这样做。”

本文由白帽汇整理并翻译，不代表白帽汇任何观点和立场
来源：https://securityaffairs.co/wordpress/91867/security/outlook-web-blocked-files.html