Automatske obavijesti komponente Exchange Web Services mogu se koristiti za dobivanje neovlaštenog pristupa

Primjenjuje se na
Exchange Server 2010 Exchange Server 2013 Exchange Server 2016 Exchange Server 2019

Scenarij

Razmotrite sljedeći scenarij:

  • koristite Exchange Server.
  • Omogućili ste Exchange Web Services (EWS).
  • Automatske obavijesti omogućene su i koriste se u vašem okruženju.

Uzrok

Kada se klijent pretplati na automatske obavijesti iz sustava Exchange Server, obavijesti koje se šalju klijentu obuhvaćaju NTLM podatke koji se mogu koristiti za provjeru autentičnosti kao poslužitelj sa sustavom Exchange Server. Ti su podaci prethodno obuhvaćeni kako bi se omogućio autenticirani odgovor klijentima na koje ste pretplaćeni. Utječe samo na automatske obavijesti. Obavijesti o povlačenju i strujanju nisu promijenjene.

Zaobilazno rješenje

Da biste zaobišli taj scenarij i spriječili zloupotrebu podataka, definirajte pravilnik o ograničavanju koji sprječava slanje obavijesti EWS-a klijentima s pretplatom. Iako samo automatske obavijesti podliježu tom ponašanju, pravilnik o ograničavanju jednako utječe na automatske obavijesti, povlačenje i strujanje.

Napomena Ovo zaobilazno rješenje uzrokuje nepravilno funkcioniranje nekih klijenata. To uključuje Outlook za Mac, Skype za tvrtke, nativne klijente za e-poštu sustava iOS i neke druge klijente drugih proizvođača. Mogu obuhvaćati i prilagođene poslovne aplikacije.

Rješenje

Microsoft je promijenio ugovor o obavijestima koji je uspostavljen između klijenata EWS-a i poslužitelja koji pokreću Exchange Server kako bi onemogućio strujanje provjerenih obavijesti poslužitelju. Umjesto toga, te se obavijesti strujaju pomoću anonimnih mehanizama provjere autentičnosti. Budući da klijent mora provjeriti autentičnost da bi uspostavio pretplatu, taj se pristup smatra primjerenim i nužnim dizajnom radi zaštite vjerodajnica i identiteta poslužitelja. Nakon te promjene klijenti koji se oslanjaju na autoriziranu EWS automatsku obavijest s poslužitelja sa sustavom Exchange Server morat će ažurirati klijent kako bi nastavili ispravno funkcionirati.

Ta promjena stupa na snagu u sljedećim izdanjima sustava Exchange: