Trusted Design

CVE-2021-26855 の詳細

CVEの情報

説明:
Microsoft Exchange Server Remote Code Execution Vulnerability

CVE更新日: 2021-03-03 00:15:12.103000

CVSSバージョン: 3.1

CVSSスコア: 9.1

KEVの情報

KEV更新日: 2021-11-03

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.999960000

EPSS更新日: 2026-10-19 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2021-26855は、Microsoft Exchange Serverにおける深刻な脆弱性「ProxyLogon」の一部として知られる、認証されていないサーバーサイドリクエストフォージェリ（SSRF）の脆弱性です。

1. 脆弱性の概要

CVE-2021-26855は、Microsoft Exchange ServerのClient Access Service (CAS) コンポーネントに存在する、認証されていないサーバーサイドリクエストフォージェリ（SSRF）の脆弱性です。この脆弱性は「ProxyLogon」とも呼ばれています。

この脆弱性の悪用により、認証されていないリモートの攻撃者が、Exchangeサーバーとして認証され、通常はインターネットからアクセスできない内部バックエンドサービスへ任意のHTTPリクエストを送信することが可能となります。この脆弱性の根本原因は、Exchangeのフロントエンドサービスが、バックエンドサービスにプロキシする前に、受信したHTTPリクエストデータの検証を適切に行わないことにあります。

1.1 影響

CVE-2021-26855単独でも脅威ですが、他のExchange Serverの脆弱性（CVE-2021-26857、CVE-2021-26858、CVE-2021-27065など）と組み合わせて悪用されることで、認証されていない攻撃者がSYSTEM権限で任意のコードを実行し、サーバーを完全に侵害することが可能となります。

具体的には、以下の影響が報告されています。

  • リモートコード実行 (RCE): 攻撃者がExchangeサーバー上で任意のコードを実行できるようになります。
  • 情報漏洩・窃取: 電子メール通信へのフルアクセスや、資格情報、データの抜き取りが発生する可能性があります。
  • Webシェルのインストール: 攻撃者が永続的なアクセス経路を確保するためにWebシェルをインストールすることが可能です。
  • ランサムウェア攻撃: DearcryやBlackKingdomなどのランサムウェアがこの脆弱性を悪用して攻撃を仕掛ける事例も報告されています。
  • 国家支援型攻撃: 中国を拠点とするハッキンググループ「HAFNIUM」を含む、複数の国家支援型APTグループによる悪用が確認されています。

1.2 深刻度

CVE-2021-26855は「緊急 (Critical)」または「高危 (High Risk)」と評価されており、非常に深刻な脆弱性であるとされています。攻撃者がリモートからPC端末を乗っ取ることができてしまう可能性があり、早急な対策が推奨されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

CVE-2021-26855は特定のOSバージョンではなく、以下のMicrosoft Exchange Serverのバージョンが影響を受けます。

  • Microsoft Exchange Server 2013: Cumulative Update 23以前のバージョン
  • Microsoft Exchange Server 2016: Cumulative Update 18および19以前のバージョン
  • Microsoft Exchange Server 2019: Cumulative Update 7および8以前のバージョン
  • Microsoft Exchange Server 2010: サポート終了済みですが、影響を受ける可能性があります (ただし、攻撃チェーンは異なる場合があります)。

なお、Microsoft Exchange Onlineは本脆弱性の影響を受けません。

2.2 影響を受ける設定

インターネットに公開されているオンプレミス版のMicrosoft Exchange Serverが主な標的となります。

3. 影響を受けた時の兆候

以下の兆候が確認された場合、侵害されている可能性があります。

  • Webシェルの存在: Outlook Web App のポータルサイトなどに不審なASPXファイル（Webシェル）が作成されている。Webシェルの一般的な名前のパターンが確認されています。
  • PowerShellアクティビティ: 不審なPowerShellコマンドの実行履歴や、リモートからのPowerShellアクティビティログ。
  • 不正な認証、ファイルアクセス: Exchangeサーバーが本来アクセスできない内部サービスへのアクセスログ、または認証情報やデータの抜き取りを示すログ。
  • マルウェア感染: XMRigなどの悪意あるマイニングソフトウェアが植え付けられている。

Microsoftは、侵害の痕跡（IoC）を確認するためのPowerShellスクリプト Test-ProxyLogon.ps1 を提供しています。米CISA、Volexity、FireEyeなどの組織も、侵害の痕跡に関する情報や調査方法を公開しています。

4. 推奨対策

4.1 本対策

  • セキュリティ更新プログラムの適用: Microsoftが提供するセキュリティ更新プログラムを適用することが、唯一の完全な対策です。特に外部ネットワークに接続しているExchange Serverには、優先的に適用することを強く推奨します。サポート終了済みのバージョンに対しても、修正プログラムが提供されています。

4.2 暫定回避策（緩和策）

セキュリティ更新プログラムを直ちに適用できない場合は、以下の緩和策を検討できますが、これらは攻撃の初期段階にのみ有効であり、完全な対策ではないことに注意が必要です。

  • 信頼できない接続の制限: Exchangeサーバーに対する信頼できない接続を制限します。
  • VPNによる分離: Exchangeサーバーを外部アクセスから分離するためにVPNを設定します。
  • IISのリライトルール: IIS (Internet Information Services) のリライトルールを実装し、ユニファイドメッセージング (UM)、Exchangeコントロールパネル (ECP) のVdir、およびオフラインアドレス帳 (OAB) VDirサービスを無効にします。
  • ファイアウォール/IPSによる防御: Exchangeサーバーのポート443への不正アクセスをFirewallやIPS（侵入防御システム）で拒否します。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る