Trusted Design

CVE-2024-21410 の詳細

CVEの情報

説明:
Microsoft Exchange Server Elevation of Privilege Vulnerability

CVE更新日: 2024-02-13 18:15:59.680000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2024-02-15

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.125610000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2024-21410は、Microsoft Exchange Serverにおける深刻な特権昇格の脆弱性です。以下にその詳細を解説します。

1. 脆弱性の概要

1.1 影響

本脆弱性は、攻撃者がNTLMクライアント（Outlookなど）から窃取したNTLM認証情報をExchange Serverにリレーすることで、特権を昇格させることを可能にします。これにより、攻撃者はパスワードを知らずに正当なユーザーとして認証し、被害者クライアントの権限でExchange Server上で操作を実行できます。

この脆弱性が悪用されると、データ侵害、不正なデータアクセス、および侵害されたシステム上でのさらなる悪用につながる可能性があり、場合によってはリモートコード実行（RCE）につながる可能性もあります。 攻撃者は機密データを盗んだり、主要な操作を妨害したり、ランサムウェアを展開したりする可能性があります。

1.2 深刻度

本脆弱性の深刻度は「緊急（Critical）」と評価されており、CVSSv3.1の基本スコアは9.8です。

2. 対象となる環境

2.1 影響を受けるOSバージョン

以下のMicrosoft Exchange Serverのバージョンが影響を受けます。 * Microsoft Exchange Server 2016 Cumulative Update 23 * Microsoft Exchange Server 2019 Cumulative Update 13 * Microsoft Exchange Server 2019 Cumulative Update 14 (パッチ適用前)

具体的には、Exchange Server 2019 CU14 (15.2.1544.04)以外のバージョン、または拡張保護（Extended Protection）が有効化されていない以前のバージョンが影響を受ける可能性があります。

2.2 影響を受ける設定

この脆弱性はNTLMリレー攻撃に関連しています。Exchange Server 2019 CU14がリリースされる前は、認証の拡張保護（EPA）がデフォルトで有効になっていなかったため、システムが攻撃に対して脆弱な状態でした。 NTLM認証を使用しており、EPAによって適切に保護されていないシステムが影響を受けます。

3. 影響を受けた時の兆候

  • 管理特権の予期せぬ変更
  • 異常な認証ログ
  • Exchangeエンドポイントへの異常なHTTPリクエスト
  • 異常なアウトバウンド接続
  • システムファイルの不正な変更
  • アクティビティログにおける特権昇格の兆候
  • 異常なアカウントログイン記録

4. 推奨対策

4.1 本対策

  • 最新のセキュリティ更新プログラムの適用: Microsoftが2024年2月の月例セキュリティ更新プログラムとしてリリースしたパッチを適用してください。
  • Exchange Server 2019 CU14への更新: Exchange Server 2019を使用している場合は、認証の拡張保護（EPA）がデフォルトで有効になる累積更新プログラム14 (CU14) またはそれ以降の最新の累積更新プログラムをインストールしてください。
  • Exchange Server 2016 CU23の対策: Exchange Server 2016 CU23を使用している場合は、2023年11月のセキュリティ更新プログラムをインストールし、Microsoftが提供しているExchangeExtendedProtectionManagement.ps1スクリプトを使用してExtended Protectionを有効にしてください。

4.2 暫定回避策（緩和策）

  • Extended Protection for Authentication (EPA) の手動有効化: Extended Protectionがまだ有効になっていない場合は、手動で有効にしてください。特にExchange Server 2016 CU23では重要です。
  • ファイアウォールルールの見直しと強化。
  • サーバーへのアクセスを必要最小限の担当者に制限する。
  • Exchange Serverにアクセスするすべてのユーザーアカウントに対して多要素認証 (MFA) を有効にする。
  • 異常や疑わしい活動を監視し、ログを記録する。

他に解説すべき観点

  • 悪用状況: 本脆弱性は、パッチがリリースされる前にゼロデイ脆弱性としてすでに悪用されていたことが確認されています。
  • 攻撃手法: 攻撃は、NTLMクライアント（例：Outlook）を標的として資格情報を窃取し、それをExchange Serverにリレーするリモートからの認証不要なNTLMリレー攻撃として実行されます。
  • 公開された脆弱なサーバーの数: Shadowserver Foundationの報告によると、2024年2月時点で、インターネットに公開されている最大97,000台のMicrosoft Exchange Serverが脆弱な状態にあるとされています。
  • CISA KEVカタログへの登録: 米国サイバーセキュリティ・社会基盤安全保障庁（CISA）は、本脆弱性を「Known Exploited Vulnerabilities (KEV) Catalog」に登録しており、連邦機関は2024年3月7日までに利用可能な更新プログラムや緩和策を適用するか、製品の使用を中止するよう求めています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る