定番の脆弱性 › CVE-2021-26855
ProxyLogon（CVE-2021-26855）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
公開日:
過去の事例 この記事は過去に話題になった脆弱性の解説です。現在の状況は公式情報でご確認ください。
基本情報（データから表示）
| 通称 | ProxyLogon |
|---|---|
| CVE番号 | CVE-2021-26855 |
| いつ起きたか | NVD に登録された日: 2021-03-03 KEV に追加された日: 2021-11-03 |
| 製品 | Microsoft Exchange Server |
| 深刻度（CVSS） | 9.1 緊急CVSS v3.1 NVD に登録された、他の機関（開発元など）による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N |
| ランサムウェアでの悪用 | 悪用が確認されている |
| 弱点の種類（CWE） | CWE-918 |
何が起きた
Microsoft Exchange Serverに、認証なしで悪用できる弱点が見つかり、実際に悪用が確認されています。これはSSRF（サーバーに不正な要求を代わりに送らせる弱点）で、離れた場所から、権限も利用者の操作もなしに悪用できます。ほかの3つの弱点と組み合わせて、Exchange Serverの上で不正なプログラムを実行する攻撃（ProxyLogon）に使われました。ランサムウェアを使った攻撃にも悪用されたことが分かっています。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
自社で動かしている（オンプレミスの）Exchange Server 2013、2016、2019を使っている組織が影響を受けます。クラウドのExchange Onlineは影響を受けません。
何をすればいい
今でも更新されていないExchange Serverが残っていないか確認してください。CVE-2021-26855、CVE-2021-26857、CVE-2021-26858、CVE-2021-27065の4件を直すMicrosoftの更新を、すぐに適用します。更新に加えて、すでに侵入されていないか（Webシェルなどの痕跡がないか）を、Microsoftが公開した調査ツールなどで確かめましょう。Microsoftの公式の案内も確認してください。
やることチェックリスト
- 自社のExchange Serverの版を確かめる
- 4件の弱点を直すMicrosoftの更新を適用する
- 調査ツールで侵入の痕跡がないか調べる
用語メモ
- SSRF
- サーバーをだまして、攻撃者の代わりに別の宛先へ要求を送らせる弱点のことです。
- オンプレミス
- クラウドではなく、自社の建物やデータセンターでサーバーを動かす使い方のことです。
- Webシェル
- 攻撃者がサーバーに置く、外から操作するための不正なプログラムのことです。
- ランサムウェア
- データを使えなくして、元に戻すことと引き換えにお金を要求する不正なプログラムのことです。
元データ（英語）
Microsoft Exchange Server Remote Code Execution Vulnerability
概要（CISA KEV）
Microsoft Exchange Server contains an unspecified vulnerability that allows for remote code execution. This vulnerability is part of the ProxyLogon exploit chain.
説明（NVD）
Microsoft Exchange Server Remote Code Execution Vulnerability