Trusted Design

解説:

CVE-2020-0688に関する脆弱性の調査結果を以下に解説します。

---

1. 脆弱性の概要

CVE-2020-0688は、Microsoft Exchange Serverに存在するリモートコード実行（RCE）の脆弱性です。この脆弱性は、Exchange Control Panel（ECP）コンポーネントにおける安全でない逆シリアル化に起因します。根本原因は、Microsoft Exchange Serverのインストール時に一意の暗号化キーが適切に作成されず、すべてのインストールで静的でハードコードされた暗号化キー（validationKeyとdecryptionKey）がViewState保護のために使用されている点にあります。攻撃者はこれらの既知の静的キーを利用し、悪意のあるシリアル化されたViewStateペイロードを細工して、認証された任意のユーザーのコンテキストでExchangeサーバー上で任意のコードを実行することができます。

1.1 影響

• 認証された攻撃者は、脆弱なExchangeサーバー上でSYSTEM権限で任意のコードを実行できます。
• これにより、影響を受けるExchangeサーバーの完全なシステム侵害が可能となり、任意のユーザーに代わってメールを読み取り、変更し、または送信する可能性があります。
• ネットワーク構成によっては、攻撃者が内部ネットワークに侵入し、追加のホストにアクセスするための足がかりとなる可能性があります。
• Exchangeサービスアカウントが高いActive Directory権限を持っている場合、攻撃者はドメイン管理者またはエンタープライズ管理者への特権昇格を行う可能性があります。

1.2 深刻度

• CVSS v3.1 Base Score: 8.8 (High)
  • CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
• この脆弱性は、CISA（Cybersecurity and Infrastructure Security Agency）の既知の悪用された脆弱性（KEV）カタログにリストされており、実環境で積極的に悪用されていることが示されています。
• Microsoftは当初「Important」と評価していましたが、その後説明を更新し、多くの情報源では「Critical」または「高」の深刻度と表現されています。

2. 対象となる環境

2.1 影響を受けるExchange Serverバージョン

この脆弱性は、以下のMicrosoft Exchange Serverバージョンに影響を与えます。

• Microsoft Exchange Server 2010 Service Pack 3 Rollup 30
• Microsoft Exchange Server 2013 Cumulative Update 23
• Microsoft Exchange Server 2016 Cumulative Update 14 および 15
• Microsoft Exchange Server 2019 Cumulative Update 3 および 4

2.2 影響を受ける設定

• Exchange Control Panel（ECP）インターフェースが攻撃者からアクセス可能なExchangeサーバー。
• web.configファイル内で静的なvalidationKeyとdecryptionKeyが使用されている設定。これらのキーは同じバージョンのすべてのExchange Serverインストールで同一です。

3. 影響を受けた時の兆候

• w3wp.exe（IISワーカープロセス）によって子実行可能プロセスが生成されている。
• 正当なユーザーに関連付けられていないIPアドレスへの大量のデータ送信など、異常なアクティビティ。
• OWA（Outlook Web Access）経由でアクセス可能なウェブシェルバックドアが展開されている。
• インメモリのポストエクスプロイトフレームワークが実行されている。
• 概念実証（PoC）の実行時、サーバーが「500 Unexpected Error」を返すものの、実際には攻撃が成功している。

4. 推奨対策

4.1 本対策

• 最新のセキュリティ更新プログラムの適用: Microsoftが2020年2月11日にリリースしたセキュリティ更新プログラム（累積的な更新プログラム）を速やかに適用してください。この更新プログラムは、インストール時に暗号化キーをランダム化するようにExchange Serverの動作を修正します。

4.2 暫定回避策（緩和策）

• パスワードのリセットと多要素認証（2FA）の導入: 企業ネットワーク内のすべてのメールユーザーにパスワードを直ちに更新するよう要求し、特にECPがインターネットからアクセス可能な場合は、多要素認証（2FA）を有効にすることを推奨します。
• 信頼されていない接続の制限: Exchangeサーバーへの信頼されていない接続を制限します。
• VPNによる分離: Exchangeサーバーを外部アクセスから分離するためにVPNを設定します。
• ログの監視: ECPアクセスログを監視し、不審なアクティビティがないか確認します。
• IPSシグネチャの導入: 該当するIPSシグネチャ（例: MS.Exchange.Validation.Key.ViewState.Remote.Code.Execution）を導入して攻撃を検出・ブロックします。

他に解説すべき観点

• 攻撃の条件: この脆弱性の悪用には、認証されたアクセスが必要です。しかし、ECPにアクセスするための低権限のユーザー資格情報でも攻撃は可能です。
• 公開されている悪用ツール: この脆弱性を悪用するためのProof-of-Concept (PoC) コードやMetasploitモジュールが公開されており、攻撃の容易性が高まっています。

参照したサイト

• SentinelOne: CVE-2020-0688: Microsoft Exchange Server RCE Vulnerability
• Zero Day Initiative: CVE-2020-0688: Remote Code Execution on Microsoft Exchange Server Through Fixed Cryptographic Keys
• Kroll Cyber Risk: MS Exchange Critical Vulnerability CVE-2020-0688 | Kroll Cyber Risk
• FortiGuard Labs: Attacks Observed in the Wild Exploiting CVE-2020-0688 (Microsoft Exchange Validation Key Remote Code Execution Vulnerability) - Threat Signal Report | FortiGuard Labs
• National Institute of Standards and Technology: NVD-CVE-2020-0688
• Microsoft Exchange Validation Key Remote Code Execution Vulnerability
• Volexity: Microsoft Exchange Control Panel (ECP) Vulnerability CVE-2020-0688 Exploited | Volexity
• GitHub Security Lab: CVE-2020-0688 Losing the keys to your kingdom | GitHub Security Lab
• netVigilance: CVE-2020-0688 — Microsoft Exchange Server Validation Key Remote Code Execution
• SOCRadar: CVE-2020-0688: Microsoft Exchange Server Valid... - SOCRadar
• Tenable: CVE-2020-0688: Microsoft Exchange Server Static Key Flaw Could Lead to Remote Code Execution - Tenable
• Microsoft Exchange Validation Key Remote Code Execution Vulnerability (CVE-2020-0688)
• Rapid7 Blog: Phishing for SYSTEM on Microsoft Exchange (CVE-2020-0688) | Rapid7 Blog
• TrustedSec: Detecting CVE-2020-0688 Remote Code Execution Vulnerability on Microsoft Exchange Server - TrustedSec
• 0xfd's blog: cve-2020-0688-Exchange-远程代码执行分析及复现
• GitHub: A remote code execution vulnerability exists in Microsoft... · CVE-2020-0688 - GitHub
• 網路系統組: 【Security Vulnerability Warning】CVE-2020-0688 - 網路系統組
• 安全KER: CVE-2020-0688 Exchange 远程代码执行分析
• GitHub: zcgonvh/CVE-2020-0688: Exploit and detect tools for CVE-2020-0688
• piyolog: 攻撃発生中のExchange Serverの脆弱性 ProxyLogonなどについてまとめてみた - piyolog
• 360灵腾安全实验室: CVE-2020-0688：Exchange Server使用固定加密密钥远程代码执行漏洞修复通告
• YouTube: 【CVE解説】CVE-2020-0688 Microsoft Exchange Server #Shorts
• IPA: NSA／FBI が警告する 2021年の脆弱性：日常的に悪用され続けた ...
• 信息化与数据管理处: 【风险预警】关于Microsoft Exchange远程代码执行漏洞的预警
• GitHub: MyDocs/CVE-2020-0688-Microsoft-Exchange-Server远程代码执行漏洞.md at main - GitHub
• Kitploit: CVE-2020-0688 - Exchange - Kitploit
• セキュリティ研究センターブログ: Exchange Serverの脆弱性まとめとSHODANでの観測状況 - セキュリティ研究センターブログ
• NECセキュリティブログ: 脆弱性管理におけるCVEと修正パッチについて : NECセキュリティブログ
• Microsoft: [サイバーセキュリティ月間2020] マイクロソフト セキュリティパッチのきほん① - Microsoft
• Microsoft Learn: Microsoft Defender 脆弱性の管理での脆弱性評価のサポート - Microsoft Defender Vulnerability Management | Microsoft Learn
• IPA: 更新：Microsoft Exchange Server の脆弱性対策について(CVE-2021-26855等)