Trusted Design

解説:

CVE-2021-31207は、Microsoft Exchange Serverにおけるセキュリティ機能バイパスの脆弱性です。以下に、この脆弱性に関する詳細を記述します。

1. 脆弱性の概要

CVE-2021-31207は、Microsoft Exchange Serverのセキュリティ機能バイパスの脆弱性であり、攻撃者がセキュリティ機能を迂回することを可能にします。この脆弱性は、メールボックスのエクスポート機能における不適切な検証に起因し、認証された攻撃者が意図したディレクトリ外の任意の場所にファイルをアップロードすることを可能にします。特に、この脆弱性は「ProxyShell」と呼ばれる攻撃チェーンの一部として知られており、CVE-2021-34473およびCVE-2021-34523と組み合わされることで、認証なしでリモートコード実行（RCE）が可能になります。

1.1 影響

• セキュリティ機能のバイパス: 攻撃者がExchange Serverのセキュリティ制御を回避できます。
• 任意のコード実行: 攻撃者が影響を受けるシステム上で任意のコードを実行し、ファイルを書き込むことが可能になります。これは通常、Webシェルを配置することで、攻撃者にサーバーへの持続的なアクセスを提供します。
• 不正アクセス: 機密情報への不正アクセスや、システム上での不正な操作の実行につながる可能性があります。
• ランサムウェア展開: 実際にランサムウェア攻撃やその他の悪意のある活動に悪用されています。
• 機密性、完全性、可用性への影響: CVSS v3.1評価では、機密性、完全性、可用性のすべてにおいて影響が「高（H）」とされています。

1.2 深刻度

• CVSS v3.1基本スコア: 6.6 (中程度)
• CWE分類: CWE-434 (Unrestricted Upload of File with Dangerous Type - 危険な種類のファイルの無制限アップロード)
• 悪用状況: CISA (Cybersecurity and Infrastructure Security Agency) の「Known Exploited Vulnerabilities Catalog」に追加されており、攻撃者による積極的な悪用が確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

Microsoft Exchange Serverの以下のバージョンが影響を受けます。

• Microsoft Exchange Server 2013 Cumulative Update 23
• Microsoft Exchange Server 2016 Cumulative Update 19 および 20
• Microsoft Exchange Server 2019 Cumulative Update 8 および 9

2.2 影響を受ける設定

この脆弱性を悪用するには、攻撃者はExchange Serverへのネットワークベースのアクセスと、Webリクエストを送信できる必要があります。攻撃に必要な特権は高いとされていますが、ProxyShell攻撃チェーンの一部である他の脆弱性（CVE-2021-34473やCVE-2021-34523）を利用することで、これらの特権を事前に取得できる可能性があります。

3. 影響を受けた時の兆候

• Exchange ServerのWebディレクトリ内に、身に覚えのないファイルやWebシェルが作成されている。
• Exchange Server上でランサムウェアが展開されている。
• Exchange Serverのログに異常なアクセスや操作の形跡が見られる。
• Exchange Serverから外部への不審な通信が発生している。

4. 推奨対策

4.1 本対策

• セキュリティ更新プログラムの適用: Microsoftが提供する適切なセキュリティ更新プログラムを速やかに適用してください。これらの更新プログラムは、Microsoft Update CatalogまたはWindows Updateを通じて入手可能です。
  • 2021年5月にリリースされたセキュリティ更新プログラムには、ProxyShellの3つの脆弱性（CVE-2021-34473、CVE-2021-34523、CVE-2021-31207）すべてに対する修正が含まれています。
• 最新状態の維持: Exchange Serverは常に最新のセキュリティ更新プログラムが適用された状態に保つことが強く推奨されます。
• 管理者権限: 更新プログラムのインストールには、Exchange Serverに対する管理者権限が必要です。

4.2 暫定回避策（緩和策）

• 強力な認証の実施: 認証情報を保護するために強力な認証方法（多要素認証など）を実装してください。
• 不審なアクティビティの監視: Exchange Server上で異常なアクティビティや不審なWebリクエストがないか、継続的に監視してください。
• 適切なアクセス制御: サーバーへのアクセスを厳しく制限し、最小特権の原則に基づいてアクセス制御を実装してください。
• Webディレクトリの確認: 脆弱性公開期間中に書き込まれた可能性のある不正なファイル（Webシェルなど）がないか、定期的にWebディレクトリを検索してください。

その他に解説すべき観点

• ProxyShell攻撃チェーン: CVE-2021-31207は単独で悪用されることもありますが、一般的には以下の2つの脆弱性と組み合わせて悪用されます。
  • CVE-2021-34473: 認証前のリモートコード実行（RCE）の脆弱性。
  • CVE-2021-34523: 認証後の特権昇格/リモートコード実行の脆弱性。 この3つの脆弱性を連鎖させることで、認証されていない攻撃者でもExchangeサーバー上でリモートコード実行が可能となり、その影響は甚大です。

参照したサイト

• Critical Analysis of CVE-2021-31207: Bypassing Security in Microsoft Exchange Server
• CVE-2021-31207: Microsoft Exchange Server Auth Bypass Flaw - SentinelOne
• CVE-2021-31207: ProxyShell — Exchange Upload Turns Access Into a Web Shell - SCRTY
• Mitigation Instructions for CVE-2021-31207 - CyRisk
• Simulating and Preventing ProxyShell Exchange Exploits - Picus Security