CVE-2019-0686|Microsoft Exchange特权提升漏洞补丁已发布

Microsoft Exchange Server中存在一个特权提升漏洞。成功利用此漏洞的攻击者可以获得与Exchange服务器的任何其他用户相同的权限。这可能允许攻击者执行诸如访问其他用户的邮箱之类的活动。

利用此漏洞需要在受影响的环境中启用和使用Exchange Web服务(EWS)和推送通知。要利用此漏洞,攻击者需要执行中间人攻击才能将身份验证请求转发到Microsoft Exchange Server,从而允许模拟其他Exchange用户。

为解决此漏洞,Microsoft已将EWS客户端与Exchange Server之间建立的通知合同更改为不允许服务器对已通过身份验证的通知进行流式处理。相反,这些通知将使用匿名身份验证机制进行流式处理。

对应版本安全更新如下:

产品文章下载影响严重性替换项
Microsoft Exchange Server 2010 Service Pack 3 Update Rollup 264487052安全更新特权提升重要4468742
Microsoft Exchange Server 2013 Cumulative Update 224345836安全更新特权提升重要 
Microsoft Exchange Server 2016 Cumulative Update 124471392安全更新特权提升重要 
Microsoft Exchange Server 2019 Cumulative Update 14471391安全更新 特权提升重要 
缓解措施

要解决此漏洞,可以定义EWSMaxSubscriptions的限制策略,并将其应用于值为零的组织。这将阻止Exchange服务器发送EWS通知,并阻止依赖于EWS通知的客户端应用程序正常运行。受影响的应用程序示例包括Outlook for Mac,Skype for Business,通知依赖LOB应用程序以及一些iOS本机邮件客户端。

例:

New-ThrottlingPolicy -Name AllUsersEWSSubscriptionBlockPolicy -EwsMaxSubscriptions 0 -ThrottlingPolicyScope Organization

计划更新正在开发中。如果您确定您的系统存在高风险,那么您应该评估建议的解决方法。

安装更新后,您可以使用以下命令撤消上述操作:

Remove-ThrottlingPolicy AllUsersEWSSubscriptionBlockPolicy

解决方法

Microsoft尚未发现此漏洞的任何变通方法。

此更新是否与Microsoft安全通报ADV190007有关?

与CVE-2019-0686和CVE-2019-0724相关联的更新解决了Microsoft安全通报ADV190007中讨论的漏洞。鼓励已实施安全通报中列出的变通方法的客户在应用此更新后将其删除以完全恢复以前的功能。

欢迎关注微信公众号:小温研习社

转载于:https://www.cnblogs.com/wenzhongxiang/p/10369264.html

内容概要:文章详细介绍了电梯门禁(梯控)系统的硬件安装与接线要点。首先强调了梯控板与楼层按键对接的重要性,包括遵循一一对应原则以避免错层、越层问题,允许空层存在以适应实际需求。接着阐述了不同接线方式(COM、NO、NC端口的不同组合)对用户权限的影响,如单层权限用户刷卡直达指定楼层,多层权限用户在特定接线方式下的操作限制。硬件安装方面,强调了无源干触点设计原则以确保电气隔离,防止系统间干扰,以及读卡器接入时的规范要求。文章还介绍了梯控系统的技术原理,如身份验证机制(二维码/IC卡/人脸识别)、消防联动功能(紧急情况下释放所有楼层权限),并指出该系统适用于小区、写字楼等场景,支持机器人乘梯SDK扩展。最后,根据不同场景需求提出了适用的接线方式选择,如严格管控场景下选择4.3接线以实现精准权限控制,限制多层用户手动选层场景下选择4.1接线并配合软件权限设置。; 适合人群:从事电梯安装维护的技术人员、楼宇自动化工程师及相关领域的管理人员。; 使用场景及目标:①指导技术人员正确安装和接线梯控系统,确保系统安全稳定运行;②帮助管理人员了解不同接线方式对用户权限的影响,以便根据实际需求选择合适的配置方案;③提升楼宇安全管理和服务质量,特别是在小区、写字楼等场所的应用。; 其他说明:梯控系统的正确安装和接线不仅关系到系统的正常运作,更直接影响到用户的安全和使用体验。因此,在实际操作中务必严格按照规范执行,同时关注最新的技术发展和应用场景变化,以确保系统始终处于最佳状态。
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值