Trusted Design

CVE-2021-36942 の詳細

CVEの情報

説明:
Windows LSA Spoofing Vulnerability

CVE更新日: 2021-08-12 18:15:10

CVSSバージョン: 3.1

CVSSスコア: 7.5

KEVの情報

KEV更新日: 2021-11-03

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.660230000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2021-36942について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2021-36942は、Windows Local Security Authority (LSA) におけるなりすまし（spoofing）の脆弱性です。認証されていない攻撃者がLSARPCインターフェースのメソッドを呼び出し、ドメインコントローラーをNTLMを使用して別のサーバーに対して認証するよう強制する可能性があります。これにより、攻撃者がドメインコントローラーを完全に制御できる可能性があります。この脆弱性は「PetitPotam」と呼ばれるNTLMリレー攻撃と関連しています。

1.1 影響

この脆弱性が悪用されると、認証されていない攻撃者によって、ドメインコントローラーに対する特権の昇格が発生し、最終的にドメイン全体の制御を奪われる可能性があります。 CISAの既知の悪用されている脆弱性カタログ（Known Exploited Vulnerabilities Catalog）にも追加されており、ランサムウェア攻撃で悪用されたことが確認されています。

1.2 深刻度

  • CVSS v3.1 Base Score: 7.5 (High)
    • NIST NVDではCVSS v3.1 Base Score 7.5 (High) と記載されています。
    • 一部の情報源では、CVSSスコアが9.8と記載されている場合もあります。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は、複数のバージョンのMicrosoft Windows Serverに影響を及ぼします。 具体的な影響を受けるWindows Serverのバージョンは以下の通りです。

  • Windows Server 2008 Service Pack 2 (Server Core installationを含む)
  • Windows Server 2008 R2 Service Pack 1 (Server Core installationを含む)
  • Windows Server 2012 (Server Core installationを含む)
  • Windows Server 2012 R2 (Server Core installationを含む)
  • Windows Server 2016 (Server Core installationを含む)
  • Windows Server 2019 (Server Core installationを含む)
  • Windows Server, version 2004 (Server Core installation)
  • Windows Server, version 20H2 (Server Core installation)

また、WindowsクライアントOSのバージョン7〜11にも影響を及ぼす可能性があります。

2.2 影響を受ける設定

不明。ただし、NTLMリレー攻撃を防ぐための対策が講じられていない環境が影響を受けやすいと考えられます。Active Directory証明書サービス (AD CS) を使用している環境で、特定の構成がPetitPotam攻撃に悪用される可能性があります。

3. 影響を受けた時の兆候

  • ドメインコントローラーがNTLMを使用して、意図しないサーバーに対して認証を行っているネットワークトラフィックの異常。
  • 不明なサーバーへの認証試行や成功のログ。
  • 特権の昇格後に発生する可能性のある、不正なユーザーアカウントの作成、設定変更、またはデータのアクセス。
  • CISA KEVカタログに記載されているように、ランサムウェア攻撃で悪用された実績があるため、ランサムウェアによるファイル暗号化などの兆候も考えられます。

4. 推奨対策

4.1 本対策

Microsoftは、この脆弱性に対処するセキュリティ更新プログラムをリリースしています。 影響を受ける全てのシステムにベンダーの指示に従って更新プログラムを適用することが推奨されます。 特にドメインコントローラーへのパッチ適用を優先するよう推奨されています。

セキュリティ更新プログラムを適用した後も追加の対策が必要となる場合があります。例えば、KB5005413に記載されているさらなるアクションが求められることがあります。

4.2 暫定回避策（緩和策）

セキュリティ更新プログラムをすぐに適用できない場合の緩和策として、以下の措置が推奨されています。

  • NTLMリレー攻撃の緩和:
    • NTLMリレー攻撃を緩和するためのガイダンスがMicrosoftから公開されています。
    • MicrosoftはLSARPCインターフェースを介した特定のAPI呼び出し（OpenEncryptedFileRawAおよびOpenEncryptedFileRawW）をブロックすることで、NTLMリレー攻撃（PetitPotamなど）からシステムを保護する修正を含んでいます。
  • Active Directory証明書サービス (AD CS) の強化:
    • AD CSサーバーに対して、認証拡張保護 (Extended Protection for Authentication, EPA) を有効にし、HTTPを無効にする。
    • Internet Information Services (IIS) マネージャーで、CertSrvおよび<CA Name>-CES_Kerberosサイトの「Windows認証」オプションを「要求」に設定する。
    • web.configファイル内の<extendedProtectionPolicy>をAlwaysに設定する。
    • CertSrvサイトのSSL設定で「SSLを要求する」をチェックして、HTTPSのみを許可するように制限する。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る