远程 Microsoft Exchange Server 在未强制执行扩展身份验证保护 （EPA） 的情况下暴露邮箱复制服务代理 （MRSProxy） WCF 端点。/Microsoft.Exchange.MailboxReplicationService.ProxyService 的终结点由 HTTP.sys 直接托管，并接受 NTLM 身份验证，而无需通道绑定标记。

可访问网络上两个 Exchange 服务器的未经身份验证的攻击者可通过以下方式利用此问题：

  1. 使用 PetitPotam（MS-EFSR，未经身份验证）迫使 Exchange 服务器 B 向攻击者的中继监听器进行身份验证。

  2. 将捕获的机器帐户 NTLM 哈希从 SMB 中继到 Exchange 服务器 A 上的 MRSProxy HTTPS 端点。由于未强制执行 EPA，因此尽管跨协议发生更改，中继仍会成功。

  3. 计算机帐户拥有 ms-Exch-EPI-Token-Serialization 权限，在经过身份验证后授予完整的 MRSProxy 访问权限。

  4. 使用攻击者控制的文件路径调用 IMailbox_Config6。
     PstDestinationMailbox.ConfigPst（） 未执行扩展验证，从而允许.aspx webshell 路径。

  5. 调用 IMailbox_Connect，触发 PSTSession.Open（） 并将文件写入磁盘，从而生成 SYSTEM 级 RCE。

Nessus 已验证 MRSProxy 端点可访问、提供 NTLM 身份验证，并且未在 NTLM 类型 2 质询中强制执行通道绑定 （EPA），即启用中继攻击的条件。

注意：此检查不会将任何文件写入目标，不会转发或传输凭据，也不会建立经身份验证的会话。它仅执行未经身份验证的 NTLM 握手探测。

检测

Microsoft Exchange Server MRSProxy 预身份验证 NTLM 中继 RCE （CVE-2026-62911）

high Nessus 插件 ID 342664

版本 1.5