遠端 Microsoft Exchange Server 會公開信箱複寫服務 Proxy （MRSProxy） WCF 端點，而沒有強制執行驗證擴充保護 （EPA）。/Microsoft.Exchange.MailboxReplicationService.ProxyService 的端點會直接由 HTTP.sys 裝載，並接受 NTLM 驗證，而不需要通道系結權杖。

未經驗證的攻擊者如果可以連線到網路上的兩部 Exchange 伺服器，可以透過以下方式利用此漏洞：

  1. 使用 PetitPotam （MS-EFSR，未經身份驗證） 強制 Exchange 伺服器 B 向攻擊者的轉送接聽程式進行身份驗證。

  2. 將擷取的電腦帳戶 NTLM 雜湊從 SMB 轉送至 Exchange 伺服器 A 上的 MRSProxy HTTPS 端點。由於未強制執行 EPA，因此儘管有跨通訊協定變更，轉送仍會成功。

  3. 機器帳戶擁有 ms-Exch-EPI-Token-Serialization 權限，一旦通過身份驗證，即可授予完整的 MRSProxy 存取權限。

  4. 使用攻擊者控制的檔案路徑呼叫IMailbox_Config6。
     PstDestinationMailbox.ConfigPst（） 不執行延伸模組驗證，允許.aspx Webshell 路徑。

  5. 調用 IMailbox_Connect，觸發 PSTSession.Open（） 並將檔案寫入磁碟，產生 SYSTEM-level RCE。

Nessus 已驗證 MRSProxy 端點可連線、提供 NTLM 驗證，且不會在 NTLM 類型 2 挑戰中強制執行通道繫結 （EPA），這是啟用轉送攻擊的條件。

注意：此檢查不會將任何檔案寫入目標，不會轉送或傳輸憑證，也不會建立經過驗證的工作階段。它只會執行未經驗證的 NTLM 交握探查。

偵測

Microsoft Exchange 伺服器 MRSProxy 預先驗證 NTLM 轉送 RCE （CVE-2026-62911）

high Nessus Plugin ID 342664

版本 1.1