Push-сповіщення веб-служб Exchange можна використовувати, щоб отримати несанкціонований доступ

Застосовується до
Exchange Server 2010 Exchange Server 2013 Exchange Server 2016 Exchange Server 2019

Сценарій

Нижче описано такий сценарій.

  • Ви використовуєте Exchange ServerExchange Server.
  • Ви активували веб-служби веб-служби Exchange (EWS).
  • Push-сповіщення ввімкнуто та використовуються у вашому середовищі.

Причина

Коли клієнт підписується на push-сповіщення від Exchange Server, сповіщення, які надсилаються клієнту, містять відомості NTLM, що можуть використовуватися для автентифікації сервера, на якому запущено Exchange Server. Ця інформація раніше включалася, щоб дозволити автентифіковану відповідь підписаним клієнтам. Це стосується лише push-сповіщень. Це не вплине на сповіщення про примусове використання та потокове передавання.

Спосіб вирішення

Щоб обійти цей сценарій і запобігти неправомірному використанню інформації, визначте політику дроселювання, яка запобігає надсиланню сповіщень EWS підписаним клієнтам. Хоча ця поведінка поширюється лише на push-сповіщення, політика дроселювання однаково впливає на сповіщення про push, отримання та потокове передавання.

Примітка Цей спосіб вирішення може спричиняти неправильну роботу деяких клієнтів. До них належать Outlook для Mac, Skype для бізнесу, власні поштові клієнти iOS і деякі інші сторонні клієнти. Сюди також можуть належати користувацькі бізнес-програми.

Спосіб усунення проблеми

Корпорація Майкрософт змінила контракт на сповіщення, який встановлюється між клієнтами EWS і серверами, які працюють Exchange Server, щоб не дозволяти потокове передавання автентифікованих сповіщень сервером. Натомість ці сповіщення передаються потоком за допомогою механізмів анонімної автентифікації. Оскільки для оформлення передплати клієнт повинен пройти автентифікацію, цей підхід вважається доцільним і доцільним для захисту облікових даних і ідентичності сервера. Після цієї зміни клієнтам, які покладаються на автентифіковане push-сповіщення EWS із сервера, який працює Exchange Server, знадобиться оновлення клієнта для подальшої належної роботи.

Ця зміна набуває чинності в таких випусках Exchange: