Notificările push Servicii web pentru Exchange pot fi utilizate pentru a obține acces neautorizat

Se aplică la
Exchange Server 2010 Exchange Server 2013 Exchange Server 2016 Exchange Server 2019

Scenariu

Luați în considerare următorul scenariu:

  • Rulați Exchange Server.
  • Ați activat Servicii web pentru Exchange (EWS).
  • Notificările push sunt activate și utilizate în mediul dvs.

Cauză

Atunci când un client se abonează la notificări push de la Exchange Server, notificările trimise clientului includ informații NTLM care ar putea fi utilizate pentru autentificarea ca server care rulează Exchange Server. Aceste informații au fost incluse anterior pentru a permite un răspuns autentificat pentru clienții abonați. Sunt afectate doar notificările push. Notificările de extragere și redare în flux nu sunt afectate.

Soluție

Pentru a evita acest scenariu și a preveni utilizarea necorespunzătoare a informațiilor, definiți o politică de limitare care împiedică trimiterea de notificări EWS clienților abonați. Deși doar notificările push sunt supuse acestui comportament, o politică de limitare afectează notificările push, pull și streamingul în egală măsură.

Notă Această soluție face ca unii clienți să nu funcționeze corect. Printre acestea se numără Outlook pentru Mac, Skype for Business, clienți de e-mail iOS nativi și alți clienți terți. De asemenea, poate include aplicații LOB particularizate.

Rezolvare

Microsoft a modificat contractul de notificări stabilit între clienții EWS și serverele care rulează Exchange Server pentru a nu permite redarea în flux a notificărilor autentificate de către server. În schimb, aceste notificări sunt difuzate în flux utilizând mecanisme de autentificare anonime. Deoarece un client ar trebui să se autentifice pentru a stabili abonamentul, această abordare este considerată a fi un proiect adecvat și necesar pentru a proteja acreditările și identitatea serverului. După această modificare, clienții care se bazează pe o notificare push EWS autentificată de la serverul care rulează Exchange Server vor necesita o actualizare de client pentru a continua să funcționeze corect.

Această modificare a comportamentului intră în vigoare în următoarele ediții Exchange: