Trusted Design

解説:

CVE-2021-34473は、Microsoft Exchange Serverに存在する深刻なリモートコード実行（RCE）の脆弱性です。この脆弱性は、「ProxyShell」と呼ばれる攻撃チェーンの一部として特に知られています。

1. 脆弱性の概要

1.1 影響

CVE-2021-34473は、認証されていない攻撃者が影響を受けるMicrosoft Exchange Server上で任意のコードを実行することを可能にするリモートコード実行（RCE）の脆弱性です。この脆弱性は、Exchange Serverの認証前リクエストの処理に不備があるため、認証を迂回して特権的なExchangeの機能にアクセスすることを許します。結果として、システム全体の乗っ取り、情報窃取、Webシェルの展開などにつながる可能性があります。

1.2 深刻度

この脆弱性は「Critical（緊急）」と評価されており、CVSS 3.xの基本スコアはNIST（米国国立標準技術研究所）で9.8、Microsoftで9.1です。これは、システムに対して非常に高いリスクをもたらすことを示しています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は、以下のMicrosoft Exchange Serverのバージョンに影響を与えます。 * Microsoft Exchange Server 2013 Cumulative Update 23 (バージョン 15.00.1497.015 未満) * Microsoft Exchange Server 2016 Cumulative Update 19 (バージョン 15.01.2176.012 未満) * Microsoft Exchange Server 2016 Cumulative Update 20 (バージョン 15.01.2242.008 未満) * Microsoft Exchange Server 2019 Cumulative Update 8 (バージョン 15.02.0792.013 未満) * Microsoft Exchange Server 2019 Cumulative Update 9 (バージョン 15.02.0858.010 未満)

2.2 影響を受ける設定

この脆弱性は、Microsoft ExchangeのAutodiscoverサービスにおけるURI検証の不備に起因しており、Exchange Serverのクライアントアクセスサービス（CAS）に存在します。CASは通常、IIS（MicrosoftのWebサーバー）上でポート443を介して動作し、モバイルデバイスやWebブラウザからのメールアクセスを可能にするため、一般的にインターネットに公開されています。このインターネットへの露出が、広範な悪用につながっています。

3. 影響を受けた時の兆候

以下のような兆候が見られる場合があります。 * IISログの分析: IISログに、&Email=autodiscover/autodiscover.json を含むリクエストパスが確認される場合、悪用が試みられた、または成功した兆候である可能性があります。 * w3wp.exeプロセスの異常なアクティビティ: 脆弱性が存在するCASはIIS上で動作するため、IISのワーカープロセスである w3wp.exe からの異常なプロセスアクティビティは、攻撃の兆候となり得ます。 * System32ディレクトリ内の新しい不審なファイル: 攻撃者はWebシェルなどを介して System32 ディレクトリに悪意のある実行ファイルや不審なファイルを配置することが多いため、このパスに新しく作成された .exe ファイルやその他の不審なファイルは調査対象となります。 * Webシェルの存在: 攻撃が成功した場合、攻撃者はリモートからのアクセス維持やコード実行のためにWebシェルをシステム上に展開することが一般的です。 * この脆弱性はCISA（米国サイバーセキュリティ・インフラセキュリティ庁）の既知の悪用された脆弱性カタログに掲載されており、実際に活発な悪用が確認されています。

4. 推奨対策

4.1 本対策

• Microsoft Exchange Serverを最新バージョンに更新し、Microsoftが提供するセキュリティパッチを適用することが最も重要です。
• CVE-2021-34473は、2021年4月にリリースされたセキュリティ更新プログラムKB5001779で修正されています。
  • なお、「ProxyShell」攻撃チェーン全体を防御するためには、CVE-2021-34523およびCVE-2021-31207も含む2021年5月または7月のセキュリティアップデートも適用する必要があります。

4.2 暫定回避策（緩和策）

• Microsoft Exchange Serverへのアクセスを信頼できるアドレスのみに制限する（アクセス制御）。
• 強力なアクセス制御と認証メカニズムを実装する。
• 定期的にセキュリティ監査と脆弱性評価を実施する。
• ファイアウォールを用いて、不必要な通信を制限する。

その他に解説すべき観点

• ProxyShell攻撃チェーンの一部: CVE-2021-34473は、単独ではなく、CVE-2021-34523（権限昇格の脆弱性）およびCVE-2021-31207（認証後の任意ファイル書き込みによるリモートコード実行の脆弱性）と組み合わせて「ProxyShell」と呼ばれる攻撃チェーンを構成する主要な脆弱性の一つです。これらの脆弱性が連鎖的に悪用されることで、認証なしにリモートから任意のコードが実行される可能性があり、実際に広く悪用されています。
• CWE-918 (Server-Side Request Forgery - SSRF): この脆弱性の根本原因は、サーバーサイドリクエストフォージェリ（SSRF）に分類される問題です。これにより、攻撃者は認証をバイパスし、通常は内部からのみアクセス可能なExchangeのバックエンドサービスにリクエストを強制的に行わせることができます。
• 活発な悪用: この脆弱性は、2021年8月のDEF CON 29やBlack Hat USA 2021での詳細公開後、脆弱なMicrosoft Exchange Serverの探索が活発化し、LockFileなどのランサムウェア集団を含む複数の脅威アクターによって活発に悪用されていることが報告されています。

---

参照したサイト: * CVE-2021-34473: Microsoft Exchange Server RCE Vulnerability - SentinelOne * cve-2021-34473 Report - Details, Severity, & Advisories | Twingate * CVE-2021-34473 Impact, Exploitability, and Mitigation Steps | Wiz * ProxyShell vulnerabilities in Microsoft Exchange: What to do | SOPHOS * Microsoft Exchange Server の脆弱性「ProxyShell」とは - SIDfm * NVD-CVE-2021-34473 - NIST * Simulating and Preventing ProxyShell Exchange Exploits - Picus Security * ProxyShell: Attackers Actively Scanning for Vulnerable Microsoft Exchange Servers (CVE-2021-34473) - Blog | Tenable® * ProxyShellとは【用語集詳細】 - SOMPO CYBER SECURITY * ProxyShell利用分析1——CVE-2021-34473 - 百度安全 * 「Exchange」の脆弱性「ProxyShell」に要警戒 - 悪用発生で米政府が注意喚起 - Security NEXT * ProxyShell: Exchangeサーバーを狙う危険な脆弱性 - ネットセキュリティ情報と説明 * ProxyShell: Deep Dive into the Exchange Vulnerabilities | Keysight Blogs * Exchange CVE-2021-34473 RCE复现 - yanq的个人博客 * ProxyShell利用分析1——CVE-2021-34473 * CVE-2021-34473 - CVE Record * (复现)CVE-2021-34473 Microsoft Exchange远程代码执行原创 - CSDN博客 * Microsoft Exchange における ProxyShell の脆弱性と対策 | SOPHOS * ProxyShell利用分析1——CVE-2021-34473_cve-2021-34473 exp-CSDN博客 * セキュリティ管理者も必見 - 脆弱性管理の実際のプロセス - SIDfm * Microsoft Exchange Serverの侵害を抑止するための技術的対策 - Trend Micro * Windowsの脆弱性（2021年10月公開）に関するお知らせ * ProxyShellとProxyLogonを悪用するマルウェア「Squirrelwaffle」 - Trend Micro * ProxyShell の脆弱性：Exchange Server が再び標的に - WatchGuard Technologies * Microsoft Exchangeのゼロデイ脆弱性に関する最新情報 | FortiGuard Labs - Fortinet * ProxyShell: More Widespread Exploitation of Microsoft Exchange Servers | Rapid7 Blog