Trusted DesignCVE-2021-42321 の詳細
CVEの情報
説明:
Microsoft Exchange Server Remote Code Execution Vulnerability
CVE更新日: 2021-11-10 01:19:50.047000
CVSSバージョン: 3.1
CVSSスコア: 8.8
KEVの情報
KEV更新日: 2021-11-17
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.917370000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: False
CVE-2021-42321は、Microsoft Exchange Serverに存在するリモートコード実行（RCE）の脆弱性です。以下に、指定された観点から解説します。
1. 脆弱性の概要
CVE-2021-42321は、Microsoft Exchange Serverの逆シリアル化処理における不適切な検証に起因するリモートコード実行の脆弱性です。この脆弱性は、認証された攻撃者が細工されたリクエストをExchange Serverに送信することで、任意のコードを実行することを可能にします。具体的には、Exchange ServerのPowerShellバックエンド内のコマンドレット引数の不適切な検証が悪用されます。
1.1 影響
この脆弱性が悪用されると、認証された攻撃者は脆弱なExchange Serverを完全に制御できるようになります。これにより、機密性の高いメール通信へのアクセス、メールボックスデータの変更、バックドアの展開、メールサービスの妨害など、深刻な影響が発生する可能性があります。米国サイバーセキュリティ・社会基盤安全保障庁（CISA）は、この脆弱性を「Known Exploited Vulnerabilities」カタログに追加しており、実際にランサムウェアキャンペーンでの悪用が確認されています。
1.2 深刻度
CVE-2021-42321のCVSS 3.1スコアは8.8であり、「緊急（High）」に分類されます。この脆弱性はネットワーク経由でリモートから悪用可能で、攻撃の複雑性は低く、ユーザーインタラクションは不要ですが、攻撃者が有効な認証情報を持っている必要があります。EPSS（Exploit Prediction Scoring System）スコアは93.4%（99.8パーセンタイル）と非常に高く、実環境での悪用される可能性が極めて高いことを示しています。Microsoftもこの脆弱性の悪用を実際に確認していると発表しています。
2. 対象となる環境
2.1 影響を受けるOSバージョン
この脆弱性は、オンプレミスのMicrosoft Exchange Server 2016および2019に影響を与えます。Exchange Hybridモードで使用されているサーバーも含まれます。
具体的に影響を受けるバージョンは以下の通りです: * Exchange Server 2019 Cumulative Update 10 または 11 およびそれ以前 * Exchange Server 2016 Cumulative Update 21 または 22 およびそれ以前 * Exchange Server 2013 Cumulative Update 23 およびそれ以前
Exchange Onlineを利用している顧客は、すでに保護されており、特別な対応は不要です。
2.2 影響を受ける設定
攻撃には、攻撃者が有効な認証情報でExchange Serverに認証できることが前提となります。また、Exchange Web Services (EWS) エンドポイント（
/ews/exchange.asmx）が利用可能である必要があります。脆弱性は、Exchangeがユーザー指定のデータを逆シリアル化する際に、細工されたシリアル化されたオブジェクトがChainedSerializationBinderの型検証をバイパスし、悪意のあるオブジェクトがインスタンス化されることによって発生します。3. 影響を受けた時の兆候
直接的な兆候は限定的ですが、以下のような挙動が疑われる兆候となる可能性があります: * IISサービスのw3wpプロセスが、通常とは異なるコマンドシェルやその他のプロセスを生成している場合。 * アプリケーションログに「MSExchange Common」ソースから「BinaryFormatter.Deserialize」を含むエラーイベントが記録されている場合。
4. 推奨対策
4.1 本対策
Microsoftは、この脆弱性に対処するためのセキュリティ更新プログラムをリリースしています。影響を受ける組織は、直ちにこれらの更新プログラムを適用することが強く推奨されます。
4.2 暫定回避策（緩和策）
既知の具体的な回避策は提供されていません。Microsoftが提供するExchange Emergency Mitigation (EM) サービスは、脆弱性に対応するセキュリティ更新プログラムが利用可能になるまでの一時的かつ暫定的な修正を提供することがありますが、CVE-2021-42321に直接適用される具体的な緩和策の記載は現在の情報からは見当たりません。 攻撃には認証が必要であるため、Exchange Serverへの認証されたアクセスを厳格に管理・監視することは一般的な緩和策として有効です。
他に解説すべき観点
ChainedSerializationBinderが不適切な型制限なしにペイロードを処理することで、悪意のあるオブジェクトがインスタンス化され、Exchange Serverの権限でコードが実行されます。参照したサイト