Pemberitahuan Push Layanan Web Exchange dapat digunakan untuk mendapatkan akses yang tidak sah

Berlaku Untuk
Exchange Server 2010 Exchange Server 2013 Exchange Server 2016 Exchange Server 2019

Skenario

Pertimbangkan skenario berikut:

  • Anda menjalankan Server Exchange.
  • Anda telah mengaktifkan Layanan Exchange Web (EWS).
  • Pemberitahuan Push diaktifkan dan digunakan di lingkungan Anda.

Penyebab

Saat klien berlangganan Pemberitahuan Push dari Server Exchange, pemberitahuan yang dikirim ke klien menyertakan informasi NTLM yang dapat digunakan untuk mengautentikasi sebagai server yang menjalankan Server Exchange. Informasi ini sebelumnya disertakan untuk memungkinkan respons yang diautentikasi ke klien yang berlangganan. Hanya Pemberitahuan Push yang terpengaruh. Pemberitahuan Tarik dan Streaming tidak terpengaruh.

Solusi

Untuk mengatasi skenario ini dan mencegah informasi disalahgunakan, tentukan kebijakan pembatasan yang mencegah Pemberitahuan EWS dikirim ke klien berlangganan. Meskipun hanya Pemberitahuan Push yang tunduk pada perilaku ini, kebijakan pembatasan juga memengaruhi Pemberitahuan Push, Pull, dan Streaming secara merata.

catatan Solusi ini menyebabkan beberapa klien tidak berfungsi dengan benar. Ini termasuk Outlook untuk Mac, Skype for Business, klien email iOS asli, dan beberapa klien pihak ketiga lainnya. Ini juga dapat menyertakan aplikasi LOB kustom.

Resolusi

Microsoft telah mengubah kontrak pemberitahuan yang dibuat antara klien EWS dan server yang menjalankan Server Exchange agar tidak mengizinkan pemberitahuan yang diautentikasi untuk di-streaming oleh server. Sebagai gantinya, pemberitahuan ini dialirkan menggunakan mekanisme autentikasi anonim. Karena klien harus mengautentikasi untuk membuat langganan, pendekatan ini dianggap sebagai desain yang tepat dan diperlukan untuk melindungi kredensial dan identitas server. Setelah perubahan ini, klien yang mengandalkan Pemberitahuan Push EWS yang diautentikasi dari server yang menjalankan Server Exchange akan memerlukan pembaruan klien agar dapat terus berfungsi dengan benar.

Perubahan perilaku ini menjadi efektif dalam rilis Exchange berikut: