Microsoft-მა Exchange-ის განახლება დამატებით გამოუშვა

Exchange-ის გუნდმა Microsoft-ის Tech Community-ში (Tech Community) ბლოგპოსტიც გამოაქვეყნა. უსაფრთხოების განახლებები Exchange SE RTM-ისთვის, Exchange Server 2019 CU14-ისა და CU15-ისთვის და Exchange Server 2016 CU23-ისთვისაა ხელმისაწვდომი. ძველი სერვერებისთვის უსაფრთხოების გაფართოებული განახლებების პროგრამის (Extended Security Update, ESU) მეორე ეტაპის გამოწერაა საჭირო. განახლება კიდევ ერთ ხარვეზს ასწორებს, რომელიც სექტემბრის გეგმურმა განახლებებმა ვერ მოაგვარა. Microsoft Exchange-ის სერვერზე სუსტი ავტორიზაციის გამო, ქსელიდან ავტორიზებულ თავდამსხმელებს საკუთარი უფლებების გაფართოება შეუძლიათ. დეველოპერების განმარტებით, ბოროტმოქმედებს სხვა მომხმარებლების საფოსტო ყუთებზე უნებართვო წვდომის მოპოვება, წერილებისა და დანართების წაკითხვა შეუძლიათ. თუმცა, კლიენტ ორგანიზაციებს შორის საზღვრების გადალახვა შეუძლებელია (CVE-2026-96940, CVSS 8,8, რისკი „მაღალი“).

Microsoft-ის ბლოგპოსტის თანახმად, განახლებას გვერდითი ეფექტებიც აქვს. გამოქვეყნებულმა კალენდრებმა კალენდრის პროგრამებში შესაძლოა HTTP 500-ის სერვერული შეცდომა დააბრუნოს. კორეული ენისთვის სიტყვების გადატანის წესების არარსებობის გამო, ე.წ. ContentEngine შესაძლოა ურთიერთბლოკირებაში (Deadlock) მოექცეს. Microsoft ამ პრობლემების გამოსწორებას მხოლოდ სამომავლო განახლებით გეგმავს. განახლება სხვა პრობლემებს აგვარებს. გაზიარებული საფოსტო ყუთების სახელით გაგზავნილი წერილები ამ ანგარიშის შემომავალი წერილების საქაღალდეში ჩნდებოდა. პროგრამისტებმა ეს პრობლემა მოაგვარეს. ჰიბრიდულ Exchange გარემოში Graph API-ის გამოყენებისას დელეგირებული საფოსტო ყუთების ხელმისაწვდომობის სტატუსი, თავისუფალი ან დაკავებული, სწორად ვერ დგინდებოდა. ეს ხარვეზიც გამოსწორდა.

Microsoft-მა ბლოგპოსტის ხშირად დასმული კითხვების განყოფილებაში დამატებითი მითითებები გამოაქვეყნა. ჰიბრიდულ გარემოში Microsoft-მა ღრუბლოვანი სერვერები უკვე განაახლა, თუმცა ადგილობრივ სერვერებზე განახლებები ადმინისტრატორებმა თავად უნდა დააყენონ. დეველოპერები განახლებების დაყენებას Exchange-ის იმ სისტემებზეც ურჩევენ, რომლებიც მხოლოდ მართვის საშუალებად გამოიყენება.