Las notificaciones push de servicios Web Exchange se pueden utilizar para obtener acceso no autorizado

Se aplica a
Exchange Server 2010 Exchange Server 2013 Exchange Server 2016 Exchange Server 2019

Escenario

Tenga en cuenta el siguiente escenario:

  • Está ejecutando Exchange Server.
  • Ha habilitado los servicios Web Exchange (EWS).
  • Las notificaciones push están habilitadas y se usan en su entorno.

Causa

Cuando un cliente se suscribe a notificaciones push de Exchange Server, las notificaciones que se envían al cliente incluyen información NTLM que podría usarse para autenticarse como el servidor que ejecuta Exchange Server. Esta información se ha incluido anteriormente para permitir una respuesta autenticada a los clientes suscritos. Solo se ven afectadas las notificaciones push. Las notificaciones de extracción y streaming no se ven afectadas.

Solución alternativa

Para solucionar este escenario y evitar que se use indebidamente la información, defina una directiva de limitación que impida que las notificaciones de EWS se envíen a los clientes suscritos. Aunque solo las notificaciones push están sujetas a este comportamiento, una directiva de limitación afecta por igual a las notificaciones push, pull y streaming.

Nota Esta solución alternativa hace que algunos clientes no funcionen correctamente. Esto incluye Outlook para Mac, Skype Empresarial, clientes de correo nativos de iOS y algunos otros clientes de terceros. También puede incluir aplicaciones de LOB personalizadas.

Resolución

Microsoft ha cambiado el contrato de notificaciones que se establece entre los clientes EWS y los servidores que ejecutan Exchange Server para no permitir que el servidor transmita notificaciones autenticadas. En su lugar, estas notificaciones se transmiten mediante mecanismos de autenticación anónima. Dado que un cliente tendría que autenticarse para establecer la suscripción, este enfoque se considera un diseño adecuado y necesario para proteger las credenciales y la identidad del servidor. Después de este cambio, los clientes que dependen de una notificación push de EWS autenticada del servidor que ejecuta Exchange Server necesitarán una actualización de cliente para seguir funcionando correctamente.

Este cambio de comportamiento surte efecto en las siguientes versiones de Exchange: