Trusted DesignCVE-2021-33766 の詳細
CVEの情報
説明:
Microsoft Exchange Server Information Disclosure Vulnerability
CVE更新日: 2021-07-14 18:15:10.380000
CVSSバージョン: 3.1
CVSSスコア: 7.3
KEVの情報
KEV更新日: 2022-01-18
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.981760000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: medium
Automatable: True
CVE-2021-33766は、Microsoft Exchange Serverに存在する情報漏えいの脆弱性であり、「ProxyToken」とも呼ばれています。この脆弱性は、認証されていないリモートの攻撃者が、脆弱なExchange Serverの展開から機密情報にアクセスすることを可能にします。
1. 脆弱性の概要
1.1 影響
本脆弱性が悪用されると、攻撃者は影響を受けるExchangeサーバーに保存されている機密性の高い電子メールデータ、連絡先情報、その他のメールボックスデータにアクセスできる可能性があります。 また、攻撃者はメールボックスの設定を変更し、例えばターゲットユーザーのすべてのメールを攻撃者が管理するアカウントに転送させることが可能です。
1.2 深刻度
この脆弱性の深刻度は、CVSS v3.1スコアで7.3（高）と評価されています。 米国サイバーセキュリティ・社会基盤安全保障庁（CISA）の既知の悪用されている脆弱性カタログ（Known Exploited Vulnerabilities Catalog）にも掲載されており、実際に悪用が確認されています。
2. 対象となる環境
CVE-2021-33766は、Microsoft Exchange Serverに影響を与えます。
2.1 影響を受けるOSバージョン
本脆弱性は、特定のOSバージョンではなく、Microsoft Exchange Serverの特定の累積更新プログラム（Cumulative Update: CU）に影響します。 * Microsoft Exchange Server 2013 Cumulative Update 23 * Microsoft Exchange Server 2016 Cumulative Update 19および20 * Microsoft Exchange Server 2019 Cumulative Update 8および9
2.2 影響を受ける設定
この脆弱性は、Exchange Control Panel (ECP)における認証の不適切な処理に起因します。 特に、Exchangeサーバーのフロントエンドがバックエンドへのプロキシとして機能する際に、委任認証（Delegated Authentication）メカニズムにおいてセキュリティトークンの検証が適切に行われないことが根本原因です。 リクエストに空ではない
SecurityTokenクッキーが存在する場合、認証はバックエンドに委任されますが、このプロセスに欠陥があり、認証がバイパスされる可能性があります。3. 影響を受けた時の兆候
影響を受けた際の兆候としては、認証されていない攻撃者がリモートから機密の電子メールデータにアクセスしたり、メールボックスの設定を不正に変更したりする可能性があります。 例えば、ユーザーの知らない間にメールが外部のアカウントに転送される設定がされている、といった状況が考えられます。
4. 推奨対策
4.1 本対策
Microsoftは、2021年7月のセキュリティ更新プログラムとして、この脆弱性に対処する修正プログラムをリリースしています。 組織は、利用しているExchange Serverのバージョンに応じた適切な累積更新プログラムを適用することが強く推奨されます。 * Exchange Server 2013: CU23以降の最新の累積更新プログラムを適用。 * Exchange Server 2016: CU20以降の累積更新プログラムを適用。 * Exchange Server 2019: CU9以降の累積更新プログラムを適用。
4.2 暫定回避策（緩和策）
直ちにパッチを適用できない場合、以下の暫定的な回避策を検討できます。 * ファイアウォールルールを使用して、Exchange Control Panel (/ecp/) エンドポイントへのネットワークアクセスを信頼できる内部ネットワークのみに制限する。 * ECPエンドポイントを標的とした疑わしいリクエストをフィルタリングするために、Web Application Firewall (WAF) ルールを実装する。 * リモート管理が不要な場合、外部ネットワークからのECPアクセスを無効にすることを検討する。 * 管理アクセスに対して多要素認証などの追加の認証要件を有効にする。 * FortiGuard Labsは、この脆弱性に対応するIPSシグネチャ「MS.Exchange.Server.SecurityToken.Authentication.Bypass」をリリースしています。 * 新華三（H3C）のIPSルールデータベースバージョン1.0.146は、この脆弱性の悪用を識別することをサポートしています。
参照したサイト