Exchange-webservices: Pushmeldingen kunnen worden gebruikt om onbevoegde toegang te verkrijgen

Van toepassing op
Exchange Server 2010 Exchange Server 2013 Exchange Server 2016 Exchange Server 2019

Scenario

Neem als voorbeeld het volgende scenario:

  • U gebruikt Exchange Server.
  • U hebt Exchange-webservices (EWS) ingeschakeld.
  • Pushmeldingen zijn ingeschakeld en worden gebruikt in uw omgeving.

Oorzaak

Wanneer een client zich abonneert op pushmeldingen van Exchange Server, bevatten de meldingen die naar de client worden verzonden, NTLM-informatie die kan worden gebruikt om te verifiëren als de server waarop Exchange Server wordt uitgevoerd. Deze informatie was eerder opgenomen om een geverifieerd antwoord aan geabonneerde clients mogelijk te maken. Dit heeft alleen invloed op pushmeldingen. Pull- en streamingmeldingen worden niet beïnvloed.

Tijdelijke oplossing

Om dit scenario te omzeilen en misbruik van gegevens te voorkomen, definieert u een beperkingsbeleid dat voorkomt dat EWS-meldingen worden verzonden naar geabonneerde clients. Hoewel dit gedrag alleen onderhevig is aan pushmeldingen, heeft een beperkingsbeleid evenveel invloed op push-, pull- en streamingmeldingen.

Notitie Deze tijdelijke oplossing zorgt ervoor dat sommige clients niet goed werken. Dit geldt voor Outlook voor Mac, Skype voor Bedrijven, systeemeigen iOS-e-mailclients en enkele andere clients van derden. Het kan ook aangepaste LOB-toepassingen bevatten.

Oplossing

Microsoft heeft het meldingscontract dat tot stand is gekomen tussen EWS-clients en servers waarop Exchange Server draait, zodanig gewijzigd dat geen geverifieerde meldingen door de server kunnen worden gestreamd. In plaats daarvan worden deze meldingen gestreamd met behulp van anonieme verificatiemechanismen. Omdat een client dan moet worden geverifieerd om het abonnement tot stand te brengen, wordt deze benadering beschouwd als een geschikt en noodzakelijk ontwerp om de referenties en identiteit van de server te beschermen. Na deze wijziging is een clientupdate vereist voor clients die afhankelijk zijn van een geverifieerde EWS-pushmelding van de server waarop Exchange Server wordt uitgevoerd, een clientupdate om correct te blijven werken.

Deze gedragswijziging wordt van kracht in de volgende Exchange-versies: