CVE-2019-0686|Microsoft Exchange特權提升漏洞補丁已發佈

Microsoft Exchange Server中存在一個特權提升漏洞。成功利用此漏洞的攻擊者可以獲得與Exchange伺服器的任何其他用戶相同的許可權。這可能允許攻擊者執行諸如訪問其他用戶的郵箱之類的活動。

利用此漏洞需要在受影響的環境中啟用和使用Exchange Web服務（EWS）和推送通知。要利用此漏洞，攻擊者需要執行中間人攻擊才能將身份驗證請求轉發到Microsoft Exchange Server，從而允許模擬其他Exchange用戶。

為解決此漏洞，Microsoft已將EWS客戶端與Exchange Server之間建立的通知合同更改為不允許伺服器對已通過身份驗證的通知進行流式處理。相反，這些通知將使用匿名身份驗證機制進行流式處理。

對應版本安全更新如下：

緩解措施

要解決此漏洞，可以定義EWSMaxSubscriptions的限制策略，並將其應用於值為零的組織。這將阻止Exchange伺服器發送EWS通知，並阻止依賴於EWS通知的客戶端應用程式正常運行。受影響的應用程式示例包括Outlook for Mac，Skype for Business，通知依賴LOB應用程式以及一些iOS本機郵件客戶端。

例：

New-ThrottlingPolicy -Name AllUsersEWSSubscriptionBlockPolicy -EwsMaxSubscriptions 0 -ThrottlingPolicyScope Organization

計劃更新正在開發中。如果您確定您的系統存在高風險，那麼您應該評估建議的解決方法。

安裝更新後，您可以使用以下命令撤消上述操作：

Remove-ThrottlingPolicy AllUsersEWSSubscriptionBlockPolicy

解決方法

Microsoft尚未發現此漏洞的任何變通方法。

此更新是否與Microsoft安全通報ADV190007有關？

與CVE-2019-0686和CVE-2019-0724相關聯的更新解決了Microsoft安全通報ADV190007中討論的漏洞。鼓勵已實施安全通報中列出的變通方法的客戶在應用此更新後將其刪除以完全恢復以前的功能。