遠端主機上安裝的 Microsoft Exchange Server 缺少安全性更新。因此，會受到多個弱點影響：

  - Microsoft Exchange Server 中的不當資源識別碼控制 ('resource injection') 允許經授權的攻擊者透過網路提升特權。(CVE-2026-62910)

  - Microsoft Exchange Server 中的繞過驗證 (透過 capture-replay 實現) 允許經授權的攻擊者透過網路提升特權。(CVE-2026-62911)

  - Microsoft Exchange Server 中的堆積型緩衝區溢位允許經授權的攻擊者透過網路執行程式碼。CVE-2026-62913

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程主机上安装的 Microsoft Exchange Server 缺少安全更新。因此，该应用程序受到多个漏洞的影响：

  - Microsoft Exchange Server 中资源标识符（“资源注入”）的管控不当，允许授权攻击者通过网络提升权限。(CVE-2026-62910)

  - Microsoft Exchange Server 中通过捕获重放进行身份验证绕过，允许未经授权的攻击者可以通过网络提升特权。(CVE-2026-62911)

  - Microsoft Exchange Server 中的堆缓冲区溢出漏洞允许授权的攻击者通过网络执行代码。 (CVE-2026-62913)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Microsoft Exchange Server 在未强制执行扩展身份验证保护 （EPA） 的情况下暴露邮箱复制服务代理 （MRSProxy） WCF 端点。/Microsoft.Exchange.MailboxReplicationService.ProxyService 的终结点由 HTTP.sys 直接托管，并接受 NTLM 身份验证，而无需通道绑定标记。

可访问网络上两个 Exchange 服务器的未经身份验证的攻击者可通过以下方式利用此问题：

  1. 使用 PetitPotam（MS-EFSR，未经身份验证）迫使 Exchange 服务器 B 向攻击者的中继监听器进行身份验证。

  2. 将捕获的机器帐户 NTLM 哈希从 SMB 中继到 Exchange 服务器 A 上的 MRSProxy HTTPS 端点。由于未强制执行 EPA，因此尽管跨协议发生更改，中继仍会成功。

  3. 计算机帐户拥有 ms-Exch-EPI-Token-Serialization 权限，在经过身份验证后授予完整的 MRSProxy 访问权限。

  4. 使用攻击者控制的文件路径调用 IMailbox_Config6。
     PstDestinationMailbox.ConfigPst（） 未执行扩展验证，从而允许.aspx webshell 路径。

  5. 调用 IMailbox_Connect，触发 PSTSession.Open（） 并将文件写入磁盘，从而生成 SYSTEM 级 RCE。

Nessus 已验证 MRSProxy 端点可访问、提供 NTLM 身份验证，并且未在 NTLM 类型 2 质询中强制执行通道绑定 （EPA），即启用中继攻击的条件。

注意：此检查不会将任何文件写入目标，不会转发或传输凭据，也不会建立经身份验证的会话。它仅执行未经身份验证的 NTLM 握手探测。

遠端 Microsoft Exchange Server 會公開 Mailbox Replication Service Proxy (MRSProxy) WCF 端點，但不會強制執行驗證的擴充保護 (EPA)。/Microsoft.Exchange.MailboxReplicationService.ProxyService 的端點直接由 HTTP.sys 掛載，並接受 NTLM 驗證，且無需通道系結權杖。

可以透過網路存取兩部 Exchange 伺服器且未經驗證的攻擊者可以藉由以下方式利用此漏洞：

  1. 使用 PetitPotam (MS-EFSR，未經身分驗證) 強制 Exchange 伺服器 B 對攻擊者的轉送接聽程式進行身分驗證。

  2. 將擷取的電腦帳戶 NTLM 雜湊從 SMB 轉送至 Exchange 伺服器 A 上的 MRSProxy HTTPS 端點。但由於並未強制執行 EPA，儘管有跨通訊協定變更，轉送仍會成功。

  3. 電腦帳戶擁有 ms-Exch-EPI-Token-Serialization 權限，一旦通過身分驗證，即可授予完整的 MRSProxy 存取權限。

  4. 使用受攻擊者控制的檔案路徑呼叫 IMailbox_Config6。
     PstDestinationMailbox.ConfigPst() 不會執行延伸模組驗證，此舉支持使用 .aspx Webshell 路徑。

  5. 呼叫 IMailbox_Connect，此舉可觸發 PSTSession.Open() 並將檔案寫入磁碟，從而產生 SYSTEM 層級 RCE。

Nessus 已驗證 MRSProxy 端點可供存取、提供 NTLM 驗證，且不會在 NTLM 類型 2 挑戰中強制執行通道繫結 (EPA)，這是啟用轉送攻擊的條件。

注意：這項檢查不會將任何檔案寫入目標，不會轉送或傳輸憑證，也不會建立經過驗證的工作階段。它只會執行未經驗證的 NTLM 交握探查。

リモートホストにインストールされている Microsoft Exchange Server にセキュリティ更新プログラムがありません。そのため、以下の複数の脆弱性の影響を受けます。

  - Microsoft Exchange Server におけるリソース識別子 (「リソースインジェクション」) の不適切な制御により、認証された攻撃者がネットワーク経由で権限を昇格できる可能性があります。(CVE-2026-62910)

  - Microsoft Exchange Server におけるキャプチャリプレイによる認証バイパスにより、認証された攻撃者がネットワーク経由で権限を昇格できる可能性があります。(CVE-2026-62911)

  - Microsoft Exchange Server のヒープベースのバッファオーバーフローにより、権限のある攻撃者がネットワーク経由でコードを実行できる可能性があります。(CVE-2026-62913)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Microsoft Exchange Server は、Extended Protection for Authentication (EPA) を適用せずに Mailbox Replication Service Proxy (MRSProxy) WCF エンドポイントを公開します。/Microsoft.Exchange.MailboxReplicationService.ProxyService のエンドポイントは HTTP.sys によって直接ホストされ、チャネルバインディングトークンを要求せずに NTLM 認証を受け入れます。

ネットワーク上の 2 つの Exchange サーバーに到達できる認証されていない攻撃者が、以下のようにして悪用する可能性があります。

  1. PetitPotam (MS-EFSR、未認証) を使用して、攻撃者のリレーリスナーに対する認証を Exchange サーバー B に強制する。

  2. キャプチャしたマシンアカウントの SMB の NTLM ハッシュを Exchange サーバー A 上の MRSProxy HTTPS エンドポイントにリレーする。EPA が強制されていないため、クロスプロトコルが変更されてもリレーは成功します。

  3. マシンアカウントは ms-Exch-EPI-Token-Serialization 権限を保持し、認証されると完全な MRSProxy アクセスを許可する。

  4. 攻撃者が制御するファイルパスで IMailbox_Config6 を呼び出す。
     PstDestinationMailbox.ConfigPst() は拡張検証を実行しないため、.aspx webshell パスが許可されます。

  5. IMailbox_Connect を呼び出すと、PSTSession.Open() がトリガーされ、ファイルをディスクに書き込み、SYSTEM レベルの RCE が生成される。

Nessus は、MRSProxy エンドポイントが到達可能であり、NTLM 認証を提供し、NTLM タイプ 2 チャレンジでチャネルバインディング (EPA) を強制しないことを確認しました。これは、リレー攻撃を可能にする状態です。

注意:このチェックは、ターゲットへのファイルの書き込み、認証情報の中継または送信を行わず、認証されたセッションを確立しません。認証されていない NTLM ハンドシェイクプローブのみを実行します。

The Microsoft Exchange Server installed on the remote host is missing security updates. It is, therefore, affected by multiple vulnerabilities:

  - Improper control of resource identifiers ('resource injection') in Microsoft Exchange Server allows an     authorized attacker to elevate privileges over a network. (CVE-2026-62910)

  - Authentication bypass by capture-replay in Microsoft Exchange Server allows an authorized attacker to     elevate privileges over a network. (CVE-2026-62911)

  - Heap-based buffer overflow in Microsoft Exchange Server allows an authorized attacker to execute code over     a network. (CVE-2026-62913)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Microsoft Exchange Server exposes the Mailbox Replication Service Proxy (MRSProxy) WCF endpoint without Extended Protection for Authentication (EPA) enforcement. The endpoint at /Microsoft.Exchange.MailboxReplicationService.ProxyService is hosted directly by HTTP.sys and accepts NTLM authentication without requiring channel binding tokens.

An unauthenticated attacker who can reach two Exchange servers on the network can exploit this by:

  1. Using PetitPotam (MS-EFSR, unauthenticated) to coerce Exchange      server B into authenticating to the attacker's relay listener.

  2. Relaying the captured machine account NTLM hash from SMB to the      MRSProxy HTTPS endpoint on Exchange server A. Because EPA is not      enforced, the relay succeeds despite the cross-protocol change.

  3. Machine accounts hold the ms-Exch-EPI-Token-Serialization right,      granting full MRSProxy access once authenticated.

  4. Calling IMailbox_Config6 with an attacker-controlled file path.
     PstDestinationMailbox.ConfigPst() performs no extension validation,      allowing a .aspx webshell path.

  5. Calling IMailbox_Connect, which triggers PSTSession.Open() and      writes the file to disk, yielding SYSTEM-level RCE.

Nessus verified that the MRSProxy endpoint is reachable, offers NTLM authentication, and does NOT enforce channel binding (EPA) in the NTLM Type 2 challenge, which is the condition that enables the relay attack.

Note: This check does NOT write any file to the target, does NOT relay or transmit credentials, and does NOT establish an authenticated session. It performs only an unauthenticated NTLM handshake probe.

ID	名前	製品	ファミリー	公開日	更新日	深刻度
334612	Microsoft Exchange Server 的安全性更新 (2026 年 8 月)	Nessus	Windows : Microsoft Bulletins	2026/8/11	2026/8/24	high
334612	Microsoft Exchange Server 安全更新（2026 年 8 月）	Nessus	Windows : Microsoft Bulletins	2026/8/11	2026/8/24	high
342664	Microsoft Exchange Server MRSProxy 预身份验证 NTLM 中继 RCE （CVE-2026-62911）	Nessus	Windows	2026/9/3	2026/10/29	high
342664	Microsoft Exchange Server MRSProxy 預先驗證 NTLM 轉送 RCE (CVE-2026-62911)	Nessus	Windows	2026/9/3	2026/10/29	high
334612	Microsoft Exchange Server のセキュリティ更新プログラム (2026 年 8 月)	Nessus	Windows : Microsoft Bulletins	2026/8/11	2026/8/24	high
342664	Microsoft Exchange Server MRSProxy 事前認証 NTLM リレー RCE (CVE-2026-62911)	Nessus	Windows	2026/9/3	2026/10/29	high
334612	Security Updates for Microsoft Exchange Server (August 2026)	Nessus	Windows : Microsoft Bulletins	2026/8/11	2026/8/24	high
342664	Microsoft Exchange Server MRSProxy Pre-Auth NTLM Relay RCE (CVE-2026-62911)	Nessus	Windows	2026/9/3	2026/10/29	high

検出

プラグインの検索

high

high

high

high

high

high

high

high