Trusted Design

解説:

CVE-2023-29357は、Microsoft SharePoint Serverにおける特権昇格の脆弱性であり、攻撃者が認証をバイパスして高い権限を獲得する可能性があります。この脆弱性は、認証プロセスの不適切な処理に起因し、特にJSON Web Token (JWT) の検証方法に問題があります。

---

1. 脆弱性の概要

CVE-2023-29357は、Microsoft SharePoint Server 2019に影響を与える深刻な特権昇格（EoP）の脆弱性です。攻撃者は偽装されたJWT認証トークンを利用することで、認証をバイパスし、正規のユーザーの権限を獲得することができます。この脆弱性は、認証アルゴリズムの実装が不適切であること（CWE-303）に関連しています。 ユーザーによる操作は不要で、リモートからの悪用が可能です。

1.1 影響 攻撃が成功した場合、認証されていない攻撃者がSharePoint Server上で昇格された権限を獲得できます。 攻撃者が管理者アカウントを偽装した場合、管理者レベルの権限が奪取されます。 これにより、システムの完全な侵害や、機密性の高い組織データへの不正アクセスにつながる可能性があります。

この脆弱性は、他の脆弱性（例：コードインジェクションの脆弱性であるCVE-2023-24955）と組み合わされることで、認証されていないリモートコード実行（RCE）を引き起こす可能性があります。 具体的には、機密文書への不正アクセス、コンテンツの変更または削除、悪意のあるコードの展開、あるいは組織ネットワーク内での横移動につながる恐れがあります。 SharePointアプリケーションプールまたはサーバーファームアカウントとして任意のコードを実行することにより、サービス拒否（DoS）状態を引き起こす可能性も指摘されています。

1.2 深刻度 CVE-2023-29357は、深刻度「Critical」と評価されています。 共通脆弱性評価システム（CVSSv3）のスコアは9.8（Critical）です。 この脆弱性は、米国サイバーセキュリティ・インフラセキュリティ庁（CISA）の既知の悪用されている脆弱性（KEV）カタログに追加されており、実際に悪用が確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン Microsoft SharePoint Server 2019が影響を受けます。 具体的には、ビルドバージョン16.0.10399.20005より前のバージョンが影響を受けます。 修正パッチは2023年6月のPatch Tuesdayでリリースされました。

2.2 影響を受ける設定 本脆弱性は、SharePointがJSON Web Token (JWT) を検証する方法に起因します。 特に、ユーザーから提供されたJWTの署名アルゴリズムが「none」に設定されている場合、SharePointが署名検証ステップをスキップするというロジックの欠陥を攻撃者が悪用します。 ネットワークからアクセス可能なSharePoint展開環境はすべてリスクに晒されます。 競合状態や特定の構成などの特別な条件は必要なく、悪用が容易です。

3. 影響を受けた時の兆候

• SharePointログにおける異常な認証パターン。特に、通常とは異なるJWTトークンの特性を持つ認証成功。
• SharePoint環境内での不正な管理操作や権限変更。
• 予期せぬソースからの、または不正な形式のトークンを伴うSharePointエンドポイントへの疑わしいAPI呼び出し。
• 機密文書ライブラリからのデータ窃取または不正アクセスの証拠。
• SIEMアラートで、例えば / _api/web/siteusers へのGETリクエストが成功し、応答コード200が返されるなど、本脆弱性の悪用を示唆する活動が検出されることがあります。
• 管理者ユーザーのリストを作成し、そのIDを詐称するためにSharePointサーバーからユーザー情報を取得しようとする試み。

4. 推奨対策

4.1 本対策 * Microsoft SharePoint Server 2019用のセキュリティパッチを直ちに適用してください。 * SharePoint Server 2019製品をビルド16.0.10399.20005以降にアップデートすることが推奨されます。 * 詳細なパッチ適用手順については、Microsoft Security Update Guideを参照してください。 * CISAは、本脆弱性がKEVカタログに含まれているため、連邦政府機関に対し、定められた期間内にこの脆弱性を修正することを義務付けています。

4.2 暫定回避策（緩和策） * SharePointサーバーを信頼できないネットワークから隔離するために、ネットワークセグメンテーションを導入してください。 * パッチをすぐに適用できない場合は、一時的にSharePointへのアクセスを制限することを検討してください。 * SharePoint Serverファーム全体でAMSI統合が有効になっており、Microsoft Defenderがアクティブであることを確認してください。これらの機能が有効な場合、本脆弱性から保護されます。 * 過去の侵害の兆候がないか、SharePoint認証ログをレビューしてください。 * 関連するシグネチャを持つ侵入防止システム（IPS）は、悪用試行をブロックするのに役立ちます。

---

その他解説すべき観点

公開されているPoCの存在: 本脆弱性に対するProof-of-Concept (PoC) エクスプロイトが公開されており、悪用の緊急性が高まっています。

参照したサイト

• CVE-2023-29357: SharePoint Server Privilege Escalation - SentinelOne
• CVE-2023-29357: SharePoint Server Privilege Escalation Vulnerability - Picus Security
• CVE-2023-29357, CVE-2023-24955: Exploit Chain Released for Microsoft SharePoint Server Vulnerabilities - Blog | Tenable®
• Microsoft SharePoint Server CVE-2023-29357 vulnerability under active exploitation
• CVE-2023-29357 - CVE Record
• Microsoft SharePoint Server Elevation of Privilege Flaw - SOCRadar
• CVE-2023-29357: Microsoft SharePoint Server Privilege Escalation Vulnerability
• Outbreak Response - Microsoft SharePoint Server Elevation of Privilege Vulnerability
• GitHub - Chocapikk/CVE-2023-29357: Microsoft SharePoint Server Elevation of Privilege Vulnerability
• Microsoft SharePoint - Authentication Bypass (CVE-2023-29357) - Pentest-Tools.com
• Microsoft SharePoint Server Elevation of Privilege Vulnerability - Threat Signal Report | FortiGuard Labs
• CVE-2023-29357: Mitigate EoP SharePoint Server - vsociety - Vicarius
• LetsDefend SA Event ID: 189, SOC227 — Microsoft SharePoint Server Elevation of Privilege — Possible CVE-2023–29357 Exploitation - Medium
• SharePoint Authentication bypass (CVE-2023-29357) - Vulnerabilities - Acunetix