Exchange tīmekļa pakalpojumu pašpiegādes paziņojumus var izmantot, lai iegūtu nesankcionētu piekļuvi

Attiecas uz
Exchange Server 2010 Exchange Server 2013 Exchange Server 2016 Exchange Server 2019

Scenārijs

Apsveriet šādu scenāriju:

  • Jūs lietojat Exchange Server.
  • Esat iespējojis Exchange tīmekļa pakalpojumus (EWS).
  • Pašpiegādes paziņojumi ir iespējoti un izmantoti jūsu vidē.

Iemesls

Kad klients abonē pašpiegādes paziņojumus no Exchange Server, klientam nosūtītie paziņojumi ietver NTLM informāciju, ko var izmantot, lai autentificētos kā serveris, kurā darbojas Exchange Server. Šī informācija iepriekš tika iekļauta, lai nodrošinātu autentificētu atbildi abonētajiem klientiem. Tiek ietekmēti tikai pašpiegādes paziņojumi. Vilkšanas un straumēšanas paziņojumi netiek ietekmēti.

Risinājums

Lai risinātu šo scenāriju un novērstu informācijas ļaunprātīgu izmantošanu, definējiet ierobežošanas politiku, kas neļauj sūtīt EWS paziņojumus abonētajiem klientiem. Lai gan šāda darbība attiecas tikai uz pašpiegādes paziņojumiem, ierobežošanas politika vienādi ietekmē pašpiegādes un vilkšanas paziņojumus.

Piezīme Šis risinājums izraisa to, ka daži klienti nedarbojas pareizi. Tas ietver Outlook darbam ar Mac, Skype darbam, vietējos iOS pasta klientus un dažus citus trešo pušu klientus. Tajā var būt iekļautas arī pielāgotas LOB programmas.

Risinājums

Microsoft ir mainījusi paziņojumu līgumu, kas ir noslēgts starp EWS klientiem un serveriem, kuros darbojas Exchange Server, lai serveris neļautu straumēt autentificētus paziņojumus. Tā vietā šie paziņojumi tiek straumēti, izmantojot anonīmus autentifikācijas mehānismus. Tā kā klientam būtu jāveic autentifikācija, lai izveidotu abonementu, šī pieeja tiek uzskatīta par piemērotu un nepieciešamu noformējumu, lai aizsargātu servera akreditācijas datus un identitāti. Pēc šīm izmaiņām klientiem, kas paļaujas uz autentificētu EWS pašpiegādes paziņojumu no servera, kurā darbojas Exchange Server, būs nepieciešams klienta atjauninājums, lai turpinātu pareizi darboties.

Šīs darbības izmaiņas stāsies spēkā šādos Exchange laidienos: