En nedstrøms DMARC pass ikke fastslår at personen som startet en melding var autorisert til å bruke dens synlige avsender. LaunDroMARC-undersøkelsen fra Engage Security fra desember 2025 beskriver en indirekte rute der remailing endrer identiteten evaluert av SPF. Forstå de enkelte hoppene før du beskriver funnet som en universell DMARC bypass eller antar at alle Microsoft-leietakere oppfører seg på samme måte i dag.
Skill de to beviskildene
Den opprinnelige forskeren beskriver en innkommende melding som passerte SPF for sitt eget konvoluttdomene, men som mislyktes DMARC mot det imiterte synlige Fra-domenet. I det rapporterte tilfellet skrev en Microsoft 365 videresendingsbane om konvolutten til videresendingsdomenet, som også samsvarte med det synlige Fra-domenet. Den endelige mottakeren observerte deretter justert SPF . Forskerne rapporterer om ulik behandling av originalen og de videresendte kopiene. Disse er tilskrevet funn fra undersøkelsen deres, ikke observasjoner gjort for denne gjennomgangen. Engasjer sikkerhetsforskning.
Microsofts dokumentasjon forklarer det SRS endringer POST FRA, ikke det synlige Fra-feltet, og gir omskrivingsmønstre for aktuelle videresendingsruter. Den advarer også om at SRS normalt ikke løser DMARC justering for videresendt post. Disse utsagnene er kompatible med forskningens spesielle identitetssammenfall: vanligvis er det originale From-domenet forskjellig fra speditørens domene; den rapporterte saken involverer bevisst samme domene. Microsoft SRS-dokumentasjon.
Forstå nedstrømsdommen
Referanser: RFC 9989 §4.4, RFC 8601 §5.
SPF spør om den tilkoblede verten er autorisert for konvoluttidentiteten ved det hoppet. DMARC sammenligner et autentisert domene med det synlige Fra-domenet. Ingen av resultatene, stående alene, rekonstruerer hvordan den opprinnelige skuespilleren fikk tilgang til en videresendingsarbeidsflyt. Et nedstrøms justert resultat kan derfor være korrekt for de evaluerte identitetene, samtidig som det fortsatt er utilstrekkelig bevis på virksomhetsautorisasjon.
Ikke tolk et SRS-utseende Return-Path som bevis på at Microsoft produserte den. Ta vare på den endelige mottakerens pålitelige resultater, peer-informasjon og meldingssporing, og sammenlign bevis fra mottaks- og videresendingsgrensene. Vilkårlig innebygd Authentication-Results tekst er ikke en pålitelig dom. RFC 8601 forklarer kravet om tillitsgrense; RFC 9989 leverer konteksten for domenejustering.
Gjengi kun identitetssammenligningen
Privatanmeldelsespakkens ikke-leveringsmodell inneholder to fiktive saker. I det normale tilfellet er det originale synlige author.test-domenet forskjellig fra den omskrevne forwarder.test-konvolutten, så antatt nedstrøms SPF passering forblir ujustert. I det andre tilfellet er det synlige domenet forwarder.test; den samme omskrevne konvolutten justeres nå. Begge begynner med et annet originalt konvoluttdomene og ikke justert DKIM.
De beholdte armaturene ble beregnet på nytt offline 8. november 2026 ved å bruke denne sammenligningen av nøyaktige domene. Den sender ikke falsk e-post, oppretter videresendingsregler, utøver Exchange Online , implementerer SRS-hasher eller beviser at en nåværende leietaker godtar ruten. Formålet er å forklare hvorfor de to dommene er forskjellige uten å gjengi et angrep mot en reell tjeneste. Historisk leverandøratferd, nåværende leietakeratferd og den abstrakte sammenligningen forblir merket separat.
Undersøk defensivt
Lagergodkjent ekstern videresending og bedriftseiere. For en mistenkt hendelse, ta vare på originalen og de videresendte kopiene, tidsstemplene, rutingmetoden, autentisering før videresending og endelige resultater. Se gjennom leverandørens gjeldende dokumentasjon og meldingssporing før du endrer en regel. Microsoft-kilden skiller gjeldende videresending fra relépool og lokale tilfeller, så et enkelt konfigurasjonskrav er ikke nok til å dekke hver bane.
Bruk endringer gjennom organisasjonens godkjente e-postsikkerhetsprosess og test legitime arbeidsflyter etterpå. Unngå brede tillatelsesregler basert utelukkende på leverandørinfrastruktur eller nedstrøms passresultater. Denne artikkelen etablerer mekanismen og etterforskningsspørsmålene. Den hevder ikke en ubekreftet utbedringsdato, universell eksponering, vellykket utnyttelse eller en gjeldende Microsoft-tjenestedefekt.