遠端 Microsoft Exchange Server 會公開 Mailbox Replication Service Proxy (MRSProxy) WCF 端點，但不會強制執行驗證的擴充保護 (EPA)。/Microsoft.Exchange.MailboxReplicationService.ProxyService 的端點直接由 HTTP.sys 掛載，並接受 NTLM 驗證，且無需通道系結權杖。

可以透過網路存取兩部 Exchange 伺服器且未經驗證的攻擊者可以藉由以下方式利用此漏洞：

  1. 使用 PetitPotam (MS-EFSR，未經身分驗證) 強制 Exchange 伺服器 B 對攻擊者的轉送接聽程式進行身分驗證。

  2. 將擷取的電腦帳戶 NTLM 雜湊從 SMB 轉送至 Exchange 伺服器 A 上的 MRSProxy HTTPS 端點。但由於並未強制執行 EPA，儘管有跨通訊協定變更，轉送仍會成功。

  3. 電腦帳戶擁有 ms-Exch-EPI-Token-Serialization 權限，一旦通過身分驗證，即可授予完整的 MRSProxy 存取權限。

  4. 使用受攻擊者控制的檔案路徑呼叫 IMailbox_Config6。
     PstDestinationMailbox.ConfigPst() 不會執行延伸模組驗證，此舉支持使用 .aspx Webshell 路徑。

  5. 呼叫 IMailbox_Connect，此舉可觸發 PSTSession.Open() 並將檔案寫入磁碟，從而產生 SYSTEM 層級 RCE。

Nessus 已驗證 MRSProxy 端點可供存取、提供 NTLM 驗證，且不會在 NTLM 類型 2 挑戰中強制執行通道繫結 (EPA)，這是啟用轉送攻擊的條件。

注意：這項檢查不會將任何檔案寫入目標，不會轉送或傳輸憑證，也不會建立經過驗證的工作階段。它只會執行未經驗證的 NTLM 交握探查。

偵測

Microsoft Exchange Server MRSProxy 預先驗證 NTLM 轉送 RCE (CVE-2026-62911)

high Nessus Plugin ID 342664

版本 1.3