Pemberitahuan Push Layanan Web Exchange dapat digunakan untuk mendapatkan akses yang tidak sah

Berlaku Untuk
Exchange Server 2010 Exchange Server 2013 Exchange Server 2016 Exchange Server 2019

Skenario

Pertimbangkan skenario berikut:

  • Anda menjalankan Server Exchange.
  • Anda telah mengaktifkan Layanan Exchange Web (EWS).
  • Pemberitahuan Push diaktifkan dan digunakan di lingkungan Anda.

Penyebab

Ketika klien berlangganan Pemberitahuan Push dari Server Exchange, pemberitahuan yang dikirim ke klien menyertakan informasi NTLM yang dapat digunakan untuk mengautentikasi sebagai server yang menjalankan Server Exchange. Informasi ini sebelumnya disertakan untuk memperbolehkan respons terautentikasi untuk klien berlangganan. Hanya Pemberitahuan Push yang terpengaruh. Pemberitahuan Tarik dan Streaming tidak terpengaruh.

Solusi

Untuk mengatasi skenario ini dan mencegah informasi disalahgunakan, tentukan kebijakan pembatasan yang mencegah Pemberitahuan EWS dikirim ke klien berlangganan. Meskipun hanya Pemberitahuan Push yang tunduk pada perilaku ini, kebijakan pembatasan mempengaruhi Pemberitahuan Push, Pull, dan Streaming secara merata.

Catatan Solusi ini menyebabkan beberapa klien tidak berfungsi dengan benar. Ini termasuk Outlook untuk Mac, Skype for Business, klien email asli iOS, dan beberapa klien pihak ketiga lainnya. Mungkin juga menyertakan aplikasi LOB kustom.

Resolusi

Microsoft telah mengubah kontrak pemberitahuan yang dibuat antara klien EWS dan server yang menjalankan Server Exchange untuk tidak mengizinkan pemberitahuan yang diautentikasi di-streaming oleh server. Sebagai gantinya, pemberitahuan ini di-streaming menggunakan mekanisme autentikasi anonim. Karena klien harus mengautentikasi untuk menetapkan langganan, pendekatan ini dianggap sebagai desain yang sesuai dan diperlukan untuk melindungi kredensial dan identitas server. Setelah perubahan ini, klien yang mengandalkan Pemberitahuan Push EWS yang diautentikasi dari server yang menjalankan Server Exchange akan memerlukan pembaruan klien untuk terus berfungsi dengan benar.

Perubahan perilaku ini menjadi efektif dalam rilis Exchange berikut ini: