详细内容或原文请订阅后点击阅览
Microsoft敦促管理员插入严重的交换安全孔（CVE-2025-53786）
“在Exchange Hybrid部署中，首先获得对本地Exchange Server的行政访问权限的攻击者可能会在组织的连接云环境中升级特权，而无需留下容易被检测到的可审核跟踪，” Microsoft在周三宣布。 The privilege escalation can be performed by exploiting CVE-2025-53786, a newly disclosed vulnerability that stems from Exchange Server and Exchange Online sharing the same service principal – i.e., the Office 365 Exchange Online application – in … More →The post Microsoft urges admins to plug severe Exchange security hole (CVE-2025-53786) appeared first on Help Net Security.
来源:Help Net Security _云安全“在Exchange Hybrid部署中，首先获得对本地Exchange Server的行政访问权限的攻击者可能会在组织的连接云环境中升级特权，而无需留下容易被检测到的可审核跟踪，” Microsoft在周三宣布。
可以通过利用CVE-2025-53786来执行特权升级，这是一个新披露的漏洞，该漏洞来自Exchange Server和Exchange Online共享相同的服务原理 - 即Office 365 Exchange在线应用程序 - 在混合配置中。 （该应用用于对Exchange Server和在线交换之间的通信进行身份验证和保护。）
新公开什么是交换混合部署？
Microsoft Exchange Server的混合部署涉及一种配置，该配置将本地的Microsoft Exchange Server环境与Exchange Online连接起来，Exchange Online是大多数Microsoft 365订阅中的基于云的版本。
目前，依靠这种部署的组织仍然可以使用Office 365 Exchange在线应用程序，但不会长时间：从本月开始，Microsoft将开始使用Exchange在线共享服务本金暂时阻止Exchange Web Services（EWS）流量。
“这是分阶段策略的一部分，旨在加快客户对专用交易所混合应用程序的采用，并使我们的客户的环境更加安全。
解释在线交易所Web服务（EWS）的退休（EWS支持Microsoft Graph API）以及从Office 365 Exchange Online应用程序过渡到专用Exchange Hybrid应用程序，由Microsoft计划使用一段时间。
公司在今年早些时候将流程设置为运动，通过发布Exchange Server 2019 Cu 14和Cu 14，Exchange Server 2016 Cu 23和Exchange Server Server订阅版RTM的Hotfix更新，并敦促客户将其安装在本地Exchange服务器上。
开关