Push-уведомления веб-служб Exchange можно использовать для получения несанкционированного доступа

Применяется к
Exchange Server 2010 Exchange Server 2013 Exchange Server 2016 Exchange Server 2019

Сценарий

Рассмотрим следующий сценарий.

  • Вы используете Exchange Server.
  • Вы включили веб-службы Exchange (EWS).
  • Push-уведомления включены и используются в вашей среде.

Причина

Когда клиент подписывается на push-уведомления от Exchange Server, клиенту отправляются сведения NTLM, которые могут быть использованы для проверки подлинности в качестве сервера с Exchange Server. Эти сведения ранее добавлялись для предоставления авторизованного ответа подписанным клиентам. Затрагиваются только push-уведомления. Уведомления о запросе и потоковой передаче не затрагиваются.

Временное решение

Чтобы обойти этот сценарий и предотвратить неправомерное использование информации, определите политику регулирования, которая запрещает отправку уведомлений EWS клиентам, на которые подписана подписка. Хотя такому поведению подвержены только push-уведомления, политика регулирования влияет на push-уведомления, уведомления по запросу и потоковую передачу в равной степени.

Примечание Это временное решение приводит к неправильной работе некоторых клиентов. К ним относятся Outlook для Mac, Skype для бизнеса, собственные почтовые клиенты iOS и некоторые другие сторонние клиенты. Он также может включать пользовательские бизнес-приложения.

Решение

Корпорация Майкрософт изменила контракт уведомлений, заключенный между клиентами EWS и серверами Exchange Server, чтобы сервером не разрешалась потоковая передача уведомлений, прошедших проверку подлинности. Вместо этого эти уведомления передаются с помощью механизмов анонимной проверки подлинности. Так как клиент должен пройти проверку подлинности для установки подписки, этот подход считается подходящей и необходимой для защиты учетных данных и удостоверений сервера. После этого изменения клиентам, которые используют push-уведомления EWS с сервером, на котором работает Exchange Server, потребуется обновление клиента для правильной работы.

Это изменение поведения вступает в силу в следующих выпусках Exchange: