Trusted Design

CVE-2021-26857 の詳細

CVEの情報

説明:
Microsoft Exchange Server Remote Code Execution Vulnerability

CVE更新日: 2021-03-03 00:15:12.167000

CVSSバージョン: 3.1

CVSSスコア: 7.8

KEVの情報

KEV更新日: 2021-11-03

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.957620000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2021-26857に関する解説

1. 脆弱性の概要

CVE-2021-26857は、Microsoft Exchange ServerのUnified Messagingサービスにおける安全でないデシリアライゼーションの脆弱性です。この脆弱性を悪用することで、認証された攻撃者がExchange Server上でSYSTEM権限で任意のコードを実行できる可能性があります。

1.1 影響

この脆弱性が悪用された場合、攻撃者はExchange Server上でSYSTEM権限で任意のコードを実行することが可能となります。 これは、サーバーへの永続的なシステムアクセス、ファイルやメールボックスへのアクセス、およびシステムに保存されている資格情報へのアクセスを可能にする可能性があります。

1.2 深刻度

CVSSv3のスコアは7.8 (High) と評価されています。 CVSSv2では6.8 (警告) と評価されています。 CISAのKnown Exploited Vulnerabilities Catalogにも登録されています。

2. 対象となる環境

CVE-2021-26857はオンプレミス版のMicrosoft Exchange Serverに影響を与え、Exchange OnlineやMicrosoft 365 (O365) クラウドメールサービスには影響しません。

2.1 影響を受けるOSバージョン

以下のMicrosoft Exchange Serverのバージョンが影響を受けます。

  • Microsoft Exchange Server 2010 Service Pack 3
  • Microsoft Exchange Server 2013
  • Microsoft Exchange Server 2016
  • Microsoft Exchange Server 2019

2.2 影響を受ける設定

この脆弱性の悪用には、ExchangeサーバーにUnified Messaging (UM) の役割がインストールされ、設定されている必要があります。 UMサービスはボイスメッセージングやOutlook Voice Access、通話応答ルールなどの機能を提供しますが、一般的にはあまり使用されないため、この脆弱性は実世界での攻撃ではあまり悪用されていません。

3. 影響を受けた時の兆候

CVE-2021-26857単独での具体的な兆候に関する情報は明確ではありませんが、この脆弱性は他のExchange Serverの脆弱性（CVE-2021-26855, CVE-2021-26858, CVE-2021-27065）と組み合わせて攻撃チェーン「ProxyLogon」として悪用されることが知られています。 攻撃者は、CVE-2021-26855などの認証バイパス脆弱性を利用してExchange Serverに認証し、その後CVE-2021-26857を悪用してSYSTEM権限で任意のコードを実行する可能性があります。 攻撃が成功すると、攻撃者はWebシェルをインストールしたり、機密情報にアクセスしたり、ランサムウェアを配布したりする可能性があります。

兆候としては以下のようなものが考えられます。

  • Exchange Serverのシステムログにおける異常な活動
  • Webシェルなどの不審なファイルの存在
  • 外部への不審な通信
  • 不審なHTTPリクエスト（特に/ecp/URLsに関連するユーザーエージェントなど）
  • メールボックスへの不正アクセスや機密情報の漏洩

4. 推奨対策

4.1 本対策

マイクロソフト社から提供されている修正プログラムを適用することが最も推奨される対策です。 外部に公開されているExchangeサーバーから優先的にパッチを適用することが推奨されています。

  • Microsoft Exchange Server 2019, 2016, 2013向けのセキュリティ更新プログラム (KB5000871) を適用する。
  • サポートが終了しているMicrosoft Exchange Server 2010についてもアップデートが提供されています。

4.2 暫定回避策（緩和策）

直ちにパッチを適用できない場合、以下の暫定的な回避策が考えられます。

  • Unified Messagingサービスの無効化: CVE-2021-26857はUnified Messagingサービスに関連する脆弱性であるため、このサービスを無効にすることで緩和できます。 ただし、この操作はExchange Serverの機能に影響を与える可能性があります。
  • 信頼できない接続の制限: Exchangeサーバーへの信頼できない接続を制限します。
  • 外部アクセスからの隔離: Exchangeサーバーを外部アクセスから分離するためにVPNを設定する。
  • IIS Re-Write Ruleの実装: 悪意のあるHTTPSリクエストをフィルタリングするためのIIS Re-Write Ruleを実装する。
  • WAF (Web Application Firewall) の利用: Cloudflare WAFなどのWAF製品で、関連するルールセットを有効にすることで、脆弱性の悪用から保護できる可能性があります。

これらの緩和策は、攻撃の初期段階でのみ有効であり、攻撃者がすでにアクセスできる状態や管理者権限を有している場合には、他の段階の攻撃を実行される可能性があります。 そのため、緩和策はサーバーが完全にパッチ適用されるまでの一時的なものとしてのみ使用することが推奨されます。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る