Nabízená oznámení webových služeb Exchange je možné použít k získání neoprávněného přístupu

Platí pro
Exchange Server 2010 Exchange Server 2013 Exchange Server 2016 Exchange Server 2019

Scénář

Vezměte v úvahu následující scénář:

  • Používáte Exchange Server.
  • Povolili jste Webové služby systému Exchange (EWS).
  • Nabízená oznámení jsou ve vašem prostředí povolená a používaná.

Příčina

Když se klient přihlásí k odběru nabízených oznámení ze serveru Exchange Server, oznámení odesílaná klientovi obsahují informace protokolu NTLM, které lze použít k ověření jako serveru, na kterém běží systém Exchange Server. Tato informace byla dříve zahrnuta, aby bylo možné ověřovat odpovědi přihlášeným klientům. Týká se to jenom nabízených oznámení. Oznámení vyžádaná z příjmu a streamovaná oznámení nejsou ovlivněna.

Alternativní řešení

Chcete-li tento scénář obejít a zabránit zneužití informací, definujte zásadu omezení, která zabrání odesílání oznámení EWS přihlášeným klientům. I když se toto chování týká jenom nabízených oznámení, má zásada omezení stejný vliv na nabízená oznámení, vyžádání i oznámení na streamování.

Poznámka Toto alternativní řešení způsobuje, že někteří klienti nefungují správně. Patří sem Outlook pro Mac, Skype pro firmy, nativní poštovní klienti pro iOS a někteří další klienti třetích stran. Může také obsahovat vlastní obchodní aplikace.

Řešení

Společnost Microsoft změnila smlouvu o oznámeních uzavřenou mezi klienty EWS a servery, na kterých běží Exchange Server, tak, aby server nepovoloval streamování ověřených oznámení serverem. Místo toho jsou tato oznámení vysílána proudem pomocí anonymních ověřovacích mechanismů. Vzhledem k tomu, že by se klient musel ověřit, aby bylo možné vytvořit předplatné, považuje se tento přístup za vhodný a nezbytný návrh pro ochranu přihlašovacích údajů a identity serveru. Po této změně budou klienti, kteří spoléhají na ověřené nabízené oznámení EWS ze serveru, na kterém běží Exchange Server, vyžadovat aktualizaci klienta, aby mohli dál správně fungovat.

Tato změna chování se projeví v následujících verzích Exchange: