Microsoft Exchange Server の権限昇格の脆弱性（CVE-2024-21410）

何が起きた

Microsoft Exchange Server に、権限を引き上げられる弱点が見つかりました。Microsoft によると、Outlook などから漏れた NTLM の認証情報を攻撃者が Exchange Server に中継（NTLM リレー）し、被害者になりすまして操作できるおそれがあります。NVD の評価では、攻撃者はネットワーク経由で、ログインなしに悪用できるとされています。CISA の KEV には悪用が確認された脆弱性として載っています。一方 Microsoft は、2023 年に標的型の NTLM リレー攻撃を把握していたものの、Exchange Server を狙った現在の悪用は把握していないと説明しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Microsoft Exchange Server 2019 と Exchange Server 2016 を使っている組織が対象です。Microsoft によると、Exchange Server 2019 CU14 より前は、中継を防ぐ拡張保護（EPA）が初めから有効になっていませんでした。

何をすればいい

Exchange Server 2019 は CU14 を入れるか、拡張保護（EPA）を有効にしてください。Exchange Server 2016 CU23 は最新のセキュリティ更新を入れてから、ExchangeExtendedProtectionManagement.ps1 で拡張保護を有効にします。設定の状態は Exchange Server Health Checker で確認でき、あわせて Microsoft の公式の案内を確認してください。

やることチェックリスト

• Exchange Server 2019 に CU14 を入れる
• Exchange 2016 CU23 に最新の更新を入れる
• 拡張保護（EPA）を有効にする

用語メモ

NTLM

Windows で使われるログインの確認（認証）の仕組みの一つです。

NTLM リレー

盗んだ NTLM の認証のやり取りを別のサーバーへそのまま転送し、本人になりすます攻撃です。

拡張保護（EPA）

認証のやり取りが別のサーバーへ中継されるのを防ぐ、Windows と Exchange の保護機能です。