Pushbenachrichtigungen der Exchange-Webdienste können verwendet werden, um nicht autorisierten Zugriff zu erhalten

Gilt für
Exchange Server 2010 Exchange Server 2013 Exchange Server 2016 Exchange Server 2019

Szenario

Nehmen Sie folgendes Szenario an:

  • Sie führen Exchange Server aus.
  • Sie haben Exchange-Webdienste (Exchange-Webdienste, EWS) aktiviert.
  • Pushbenachrichtigungen sind in Ihrer Umgebung aktiviert und werden verwendet.

Ursache

Wenn ein Client Pushbenachrichtigungen von Exchange Server abonniert, enthalten die an den Client gesendeten Benachrichtigungen NTLM-Informationen, die zur Authentifizierung als Server verwendet werden können, auf dem Exchange Server ausgeführt wird. Diese Informationen waren zuvor enthalten, um eine authentifizierte Antwort an abonnierte Clients zu ermöglichen. Nur Pushbenachrichtigungen sind betroffen. Pull- und Streaming-Benachrichtigungen sind nicht betroffen.

Problemumgehung

Um dieses Szenario zu umgehen und zu verhindern, dass Informationen missbraucht werden, definieren Sie eine Drosselungsrichtlinie, die verhindert, dass EWS-Benachrichtigungen an abonnierte Clients gesendet werden. Obwohl nur Pushbenachrichtigungen diesem Verhalten unterliegen, wirkt sich eine Einschränkungsrichtlinie gleichermaßen auf Push-, Pull- und Streamingbenachrichtigungen aus.

Hinweis Diese Problemumgehung führt dazu, dass einige Clients nicht ordnungsgemäß funktionieren. Dazu gehören Outlook für Mac, Skype for Business, systemeigene iOS-E-Mail-Clients und einige andere Drittanbieterclients. Es kann auch benutzerdefinierte Branchenanwendungen enthalten.

Lösung

Microsoft hat den Benachrichtigungsvertrag geändert, der zwischen EWS-Clients und Servern eingerichtet wurde, auf denen Exchange Server ausgeführt wird, sodass authentifizierte Benachrichtigungen nicht mehr vom Server gestreamt werden können. Stattdessen werden diese Benachrichtigungen mithilfe anonymer Authentifizierungsmechanismen gestreamt. Da sich ein Client authentifizieren müsste, um das Abonnement einzurichten, wird dieser Ansatz als geeigneter und notwendiger Entwurf zum Schutz der Anmeldeinformationen und Identität des Servers angesehen. Nach dieser Änderung benötigen Clients, die auf eine authentifizierte EWS-Pushbenachrichtigung vom Server angewiesen sind, auf dem Exchange Server ausgeführt wird, ein Clientupdate, um weiterhin ordnungsgemäß zu funktionieren.

Diese Verhaltensänderung wird in den folgenden Exchange-Versionen wirksam: