Microsoft Exchange Server の権限昇格の脆弱性（CVE-2018-8581）

何が起きた

メールのサーバーソフト Microsoft Exchange Server に、権限を不正に高められる弱点が見つかり、実際に悪用が確認されています。悪用されると、Exchange サーバーの他の利用者になりすまされるおそれがあります。NVD の評価では、ネットワーク経由で離れた場所から、ログインなしで、利用者の操作もなしに悪用できるとされています。一方 Microsoft は、悪用には中間者攻撃で認証の要求を Exchange サーバーに転送する必要があると説明しています。KEV では、ランサムウェアの攻撃で使われたことが知られているとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Exchange Server 2010、2013、2016、2019 を使っている組織が影響を受けます。これは Microsoft が公開している対象製品の一覧に基づきます。

何をすればいい

Microsoft は、ループバックアダプター（自分自身あての通信の仕組み）で NTLM 認証を有効にしているレジストリの値を削除するよう案内しています。Lsa というキーの下にある DisableLoopbackCheck という値を削除すると、この弱点は悪用できなくなり、削除後に OS や Exchange の再起動は要りません。削除するのは DisableLoopbackCheck の値だけで、Lsa のキーそのものは消さないよう注意してください。Microsoft は、今後の累積更新プログラムでは、インストールのときにこの設定が正しく行われるようになると説明しています。Microsoft の公式の案内も確認してください。

やることチェックリスト

• DisableLoopbackCheck の値があるか確認する
• あれば DisableLoopbackCheck の値を削除する
• Lsa のキー自体は消さないようにする

用語メモ

中間者攻撃

通信する2者の間に攻撃者が割り込み、やり取りをのぞいたり、別の相手に転送したりする攻撃です。

NTLM 認証

Windows で使われる、利用者が本人かどうかを確かめる仕組みの1つです。

レジストリ

Windows の設定をまとめて保存している場所です。