Trusted Design

解説:

CVE-2021-27065は、Microsoft Exchange Serverにおける深刻度の高い脆弱性であり、攻撃者がリモートでコードを実行できる可能性があります。この脆弱性は、他の脆弱性と組み合わせて「ProxyLogon」と呼ばれる攻撃チェーンの一部として悪用されました。

1. 脆弱性の概要

CVE-2021-27065は、Microsoft Exchange Serverの認証後の任意のファイル書き込みの脆弱性です。この脆弱性は、Exchange Control Panel (ECP) の仮想ディレクトリ (VDir) 設定の処理方法に存在します。認証された攻撃者は、サーバー上の任意のパスにファイルを書き込むことが可能です。これは、CWE-22（パス・トラバーサル）に分類されます。

1.1 影響

この脆弱性は、特にCVE-2021-26855（サーバーサイドリクエストフォージェリ）などの他の脆弱性と組み合わせることで、SYSTEM権限でのリモートコード実行 (RCE) につながる可能性があります。攻撃者は、Webシェルをアップロードしてサーバーを侵害し、永続的なアクセスを獲得し、データを窃取し、さらなる悪意のある行動を実行することができます。これにより、機密性、完全性、可用性が影響を受けます。

1.2 深刻度

CVE-2021-27065は、深刻度の高い脆弱性であり、CVSS v3.1基本スコアは7.8です。この脆弱性は、APTグループHAFNIUMによって実際に積極的に悪用されました。CISAの既知の悪用されている脆弱性カタログにも記載されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性の影響を受けるのは、オンプレミス版のMicrosoft Exchange Server 2013、2016、および2019です。Exchange Onlineは影響を受けません。

具体的な影響バージョンは以下の通りです: * Microsoft Exchange Server 2013: Cumulative Update 21, 22, 23, および Service Pack 1 (SP1). * Microsoft Exchange Server 2016: Cumulative Update 8 から Cumulative Update 19 まで. * Microsoft Exchange Server 2019: RTM から Cumulative Update 8 まで. * Microsoft Exchange Server 2010: SP3 (深層防御の更新プログラムが提供されています)。

2.2 影響を受ける設定

この脆弱性は、Exchange Control Panel (ECP) の仮想ディレクトリ構成操作に関連する機能に存在します。根本的な原因は、仮想ディレクトリ構成のエクスポート操作中にファイルパスの検証が不適切であったことです。

3. 影響を受けた時の兆候 (Indicators of Compromise - IoC)

以下の兆候は、システムが侵害された可能性を示唆しています。 * Exchangeサーバーディレクトリにおける異常なファイルの書き込み。特にC:\inetpub\wwwroot\aspnet_client\ および C:\Program Files\Microsoft\Exchange Server\V15\FrontEnd\HttpProxy\owa\auth\ 内。 * 外部IPアドレスからの疑わしい認証試行。 * サーバー上にWebシェルやその他の悪意のあるスクリプトが存在すること。 * IISディレクトリ内の疑わしい名前または最近のタイムスタンプを持つWebシェルファイル。 * スクリプトコンテンツを含む、変更されたOAB仮想ディレクトリの外部URL構成。 * Webアクセス可能なディレクトリにChina ChopperなどのWebシェルアーティファクトの痕跡。 * Windowsイベントログにおけるw3wp.exe (IISワーカープロセス) からの異常なプロセス生成。 * Exchange IISログにおける、最近作成された異常なASPXファイルへのPOSTリクエスト。 * 管理ログにペイロードを伴うSet-OabVirtualDirectoryという特定のイベントが記録されている。 * /ecp/DDI/DDIService.svc へのPOSTリクエストを伴うIISログエントリ。

4. 推奨対策

4.1 本対策

• 影響を受けるすべてのExchange Serverバージョンに、Microsoftが提供するセキュリティ更新プログラムを直ちに適用してください。更新プログラムは2021年3月2日に公開されました。
  • Exchange Server 2013: Cumulative Update 23 (CU23) と2021年3月のセキュリティ更新プログラム。
  • Exchange Server 2016: Cumulative Update 19 (CU19) または 20 (CU20) と2021年3月のセキュリティ更新プログラム。
  • Exchange Server 2019: Cumulative Update 8 (CU8) または 9 (CU9) と2021年3月のセキュリティ更新プログラム。
  • Exchange Server 2010: Service Pack 3 (SP3) の深層防御更新プログラム。
• 具体的なパッチのダウンロードとインストールについては、CVE-2021-27065に関するMicrosoftのセキュリティアドバイザリを参照してください（例: https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2021-27065)。
• Webシェルの検出と削除のために、ExchangeサーバーでMicrosoft Safety Scannerを実行してください。
• Exchangeの監査ログを強化し、ECP管理アクションを定期的にレビューしてください。
• エンドポイント検出と応答 (EDR) ソリューションを展開してください。
• Exchange Webディレクトリでファイル整合性監視を実装してください。

4.2 暫定回避策（緩和策）

• Exchangeサーバーへの信頼できない接続を制限してください（例: VPNの使用、特定のホスト/IP範囲へのアクセスを制限するファイアウォールルールなど）。初期攻撃は、Exchange Serverのポート443への信頼できない接続を確立する能力を必要とします。
• Exchangeサーバーをネットワークの他の部分から隔離してください。
• ECPエンドポイントへの既知の悪用パスをブロックするために、URL書き換えルールを実装してください。
• ファイアウォールルールを使用して、ECPアクセスを信頼された内部ネットワークのみに制限してください。
• 必要がない場合は、パッチが適用されるまでユニファイドメッセージングおよびOABサービスを無効にしてください。
• ExchangeサーバーをVPNの背後に配置するか、管理インターフェースに追加の認証レイヤーを実装してください。
• Exchangeサーバーディレクトリでの予期しないファイル書き込みや変更などの異常なアクティビティを監視し、検出してください。
• インシデント対応計画を準備してください。
• 侵害が検出された場合は、直ちに対象デバイスを隔離し、侵害されたアカウントを特定し、パスワードをリセットし、横方向の移動がないか侵害のタイムラインを調査してください。

参照したサイト

• Critical Analysis of CVE-2021-27065: Mitigating Remote Code Execution Vulnerability in Microsoft Exchange Servers - Rescana
• CVE-2021-27065: Microsoft Exchange Server RCE Vulnerability - SentinelOne
• CVE-2021-27065 - CVE Record
• CVE-2021-27065 | Tenable®
• CVE-2021–27065: ProxyLogon — Microsoft Exchange RCE Vulnerability - Medium
• Exploit:ASP/CVE-2021-27065 threat description - Microsoft Security Intelligence
• Microsoft Exchange Serverの複数の脆弱性に関する注意喚起 - JPCERT
• Active Exploitation of Microsoft Exchange Vulnerabilities - update 4 - Canadian Centre for Cyber Security
• Mitigating Microsoft Exchange Server Vulnerabilities - Fortinet
• Microsoft Exchange Server Zero-Day Vulnerabilities Exploited - Tenable
• Threat Assessment: Active Exploitation of Four Zero-Day Vulnerabilities in Microsoft Exchange Server - Palo Alto Networks Unit 42
• Just in Time Bulletin: Four Zero-day Vulnerabilities in Microsoft Exchange Server - NopSec
• Protecting against recently disclosed Microsoft Exchange Server vulnerabilities: CVE-2021-26855, CVE-2021-26857, CVE-2021-26858, and CVE-2021-27065 | Cloudflare Blog
• Remediation Steps for the Microsoft Exchange Server Vulnerabilities
• Mass Exploitation of Microsoft Exchange Server Zero-Day CVEs | Rapid7 Blog
• Mitigate Microsoft Exchange Server Vulnerabilities - CISA
• 更新：Microsoft Exchange Server の脆弱性対策について(CVE-2021-26855等) - IPA
• cve-2021-27065 exploited - Microsoft Q&A
• ProxyLogonのまとめとExchange Serverの利用状況について - セキュリティ研究センターブログ
• Hunting Down MS Exchange Attacks. Part 1. ProxyLogon (CVE-2021-26855, 26858, 27065, 26857) - Cyber Polygon