За получаване на неупълномощен достъп може да се използват насочени известия на уеб услуги на Exchange

Отнася се за
Exchange Server 2010 Exchange Server 2013 Exchange Server 2016 Exchange Server 2019

Сценарий

Имайте предвид сценария, описан по-долу:

  • При вас се изпълнява Exchange Server .
  • Разрешили сте уеб услугите на Exchange (EWS).
  • Насочените известявания са разрешени и се използват във вашата среда.

Причина

Когато даден клиент се абонира за насочени известия от Exchange Server , известията, които се изпращат до клиента, включват NTLM информация, която може да се използва за удостоверяване като сървър, на който се изпълнява Exchange Server . Тази информация беше включена по-рано, за да се позволи удостоверен отговор на абонирани клиенти. Засегнати са само насочени известия. Известията за изтегляне и поточно предаване не са засегнати.

Заобиколно решение

За да заобиколите този сценарий и да предотвратите неправилно използване на информацията, дефинирайте правила за ограничаване, които не позволяват изпращането на EWS известия до абонирани клиенти. Въпреки че само насочените известия са предмет на такова поведение, правилата за ограничаване засягат едновременно насочените известия, изтеглянията и поточното предаване.

Забележка Това заобиколно решение е причина някои клиенти да не функционират правилно. Това включва Outlook for Mac, Skype за бизнеса, основни пощенски клиенти на iOS и някои други клиенти на трети лица. Може също така да включва персонализирани LOB приложения.

Решение

Microsoft промени договора за известия, сключен между клиенти на EWS и сървъри, на които се изпълнява Exchange Server , за да не позволява поточно предаване на удостоверени известия от сървъра. Вместо това тези известия се предават поточно с помощта на механизми за анонимно удостоверяване. Тъй като клиентът ще трябва да се удостовери, за да установи абонамента, този подход се счита за подходящ и необходим проект за защита на идентификационните данни и самоличността на сървъра. След тази промяна клиентите, които разчитат на удостоверено насочено известие на EWS от сървъра, на който се изпълнява Exchange Server , ще изискват актуализация на клиента, за да продължат да функционират правилно.

Тази промяна в поведението влиза в сила в следните издания на Exchange: