owa内嵌图片显示空白
故障上报
- 今天收到客户反馈：登录 owa 发现邮箱里以前邮件正文中的图片现在显示为空白(如下图示)，登录 outlook 客户端则可以显示图片，平时owa网页用得不多，所以不确定出现问题的具体时间了，近期的改动是 Exchange Server 2019 服务器安装了 Windows 更新和更新 CA 证书。
发生原因
- 在 Exchange Server 2019 上应用了针对欺骗漏洞 CVE-2026-42897 (披露时间：2026-05-14) 的安全缓解措施后，OWA中的内嵌图片就无法显示了，而桌面版Outlook则正常。问题的根源在于，该缓解措施在IIS中为OWA站点添加了一条URL重写规则，它会在HTTP响应头中添加一个极其严格的内容安全策略(CSP)以阻止恶意脚本执行，从而导致现代浏览器(Chrome、Edge、Firefox等)错误地阻止了内嵌图片的加载，这是该应急措施的一个已知副作用。而老旧的Internet Explorer反而能正常显示，这进一步印证了是浏览器对CSP头处理机制不同导致的问题。
验证方法
- 验证方法：在IIS中暂时禁用相关的URL重写规则
注：禁用此规则(等于移除了对CVE-2026-42897漏洞的关键防护)会使服务器重新暴露该安全漏洞风险，验证之后建议立即启用
第1步，在Exchange服务器上打开 IIS管理器，展开到：默认网站 -> owa -> 双击打开“URL重写”
第2步，在规则列表中，找到名称包含 EEMS M2.1 OWA CSP 的规则，并点击右侧操作窗格的“禁用规则”
第3步，立即刷新OWA页面，发现邮件正文中的图片可以正常显示
缓解办法
- 请遇到问题的用户使用 Outlook 客户端登录系统
解决办法
- 第1步，首先升级到 Exchange Server 2019 CU14 或 CU15
- 第2步，升级到 CU14/CU15 之后，还需要安装2026年6月或7月发布的安全更新（KB5094142 和 KB5094140），这里面才包含对CVE-2026-42897的永久性代码修复
注：KB5094140 补丁属于Exchange 2019 CU15 SU8，没有公开下载链接，不在普通 catalog.update.microsoft.com 目录直接公开下载，仅签约 ESU 合规客户可以登录微软商业门户获取
Exchange2019-KB5094140-x64-en.exe安装包。而 KB5094142（属于CU15 SU11）和 KB5094140 性质一样：属于 Exchange ESU 扩展安全更新，仅签约 ESU 客户可下载。
- 第3步，如果官方更新已安装，并且确认更新已修复漏洞，则可以安全地移除该URL重写规则