Trusted Design

CVE-2021-26858 の詳細

CVEの情報

説明:
Microsoft Exchange Server Remote Code Execution Vulnerability

CVE更新日: 2021-03-03 00:15:12.227000

CVSSバージョン: 3.1

CVSSスコア: 7.8

KEVの情報

KEV更新日: 2021-11-03

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.936510000

EPSS更新日: 2026-10-19 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2021-26858は、Microsoft Exchange Serverに存在するリモートコード実行の脆弱性です。この脆弱性は、認証後に任意のファイルを書き込むことを可能にするものであり、通称ProxyLogonと呼ばれる一連の脆弱性の一部として知られています。

1. 脆弱性の概要

CVE-2021-26858は、Microsoft Exchange Serverにおける認証後の任意のファイル書き込みの脆弱性です。攻撃者がExchange Serverに対して認証を確立した後、この脆弱性を利用して任意のファイルをサーバー上の任意のパスに書き込むことができます。 これは、通常、別の脆弱性（例：CVE-2021-26855のような認証バイパスの脆弱性）と組み合わせて悪用され、認証されていない攻撃者がリモートでコードを実行する可能性を生み出します。

1.1 影響

この脆弱性が悪用されると、攻撃者は脆弱なExchangeサーバー上で任意のコードを実行できるようになります。 これにより、サーバーの完全な侵害、データの持ち出し、および企業メールインフラストラクチャへの永続的なアクセスにつながる可能性があります。 攻撃者は、悪意のあるWebシェルやスクリプトを展開し、永続的なリモートアクセスやコード実行を可能にします。 実際に、この脆弱性はランサムウェアキャンペーン（例：DearCryランサムウェア）や国家支援型の攻撃グループ（例：HAFNIUM）によって悪用されたことが確認されています。

1.2 深刻度

CVSS v3.1ベーススコアは7.8で、深刻度は「高」と評価されています。 CVSS v2.0ベーススコアは6.8で、「中」と評価されています。 この脆弱性は、CISAのKnown Exploited Vulnerabilitiesカタログにも追加されており、実際に悪用が確認されているため、CVSSスコア以上に優先度の高い対応が求められます。

2. 対象となる環境

この脆弱性は、オンプレミスのMicrosoft Exchange Serverに影響を与えます。 Microsoft Exchange OnlineまたはMicrosoft 365クラウドメールサービスは影響を受けません。

2.1 影響を受けるOSバージョン

直接的なOSバージョンではなく、以下のMicrosoft Exchange Serverのバージョンが影響を受けます。

  • Microsoft Exchange Server 2010 SP3 (CVE-2021-26857に関連するパッチは公開されていますが、CVE-2021-26858の攻撃チェーンとは異なる可能性があります)
  • Microsoft Exchange Server 2013 (SP1, CU22, CU23)
  • Microsoft Exchange Server 2016 (CU8～CU19)
  • Microsoft Exchange Server 2019 (Base～CU8)

2.2 影響を受ける設定

この脆弱性は、認証後のファイル書き込みの脆弱性であるため、攻撃者が何らかの方法でExchangeサーバーへの認証を確立できる設定が影響を受けます。これには、他の認証バイパスの脆弱性（例: CVE-2021-26855）が利用されるケースや、盗まれた管理者認証情報が使用されるケースが含まれます。

3. 影響を受けた時の兆候

  • Webシェルの展開。
  • サーバー上での任意のコマンド実行。
  • 資格情報のダンプ。
  • メールデータへのアクセス。
  • 永続的なアクセスの確立。
  • 不明なファイルがサーバー上の予期せぬパスに書き込まれている。
  • 異常なネットワークトラフィックや外部へのデータ送信。
  • ランサムウェア（例：DearCry）がインストールされ、ファイルが暗号化される。

CISAは、これらのCVEの侵害の可能性を特定するために、Microsoft Advisoryを読むことを推奨しています。 また、Microsoftは侵害の痕跡（IOCs）をスキャンするツール「Test-ProxyLogon.ps1」を公開しています。

4. 推奨対策

4.1 本対策

Microsoftが提供するセキュリティ更新プログラムを、すべての影響を受けるExchange Serverに直ちに適用することが強く推奨されます。 特に、外部に公開されているExchange Serverは優先的に対応すべきです。

  • 適切な累積更新プログラム（Cumulative Update）を適用してください。

4.2 暫定回避策（緩和策）

  • 外部からのアクセス制限:
    • OWA（Outlook on the web）URL（/owa/）への外部アクセスを制限する。
    • EAC（Exchange Admin Center）またはECP（Exchange Control Panel）URL（/ecp/）への外部アクセスを制限する。
    • 信頼できない接続を制限したり、VPNを設定してExchangeサーバーを外部から直接アクセスできないようにする。
  • Microsoft Exchange On-Premises Mitigation Tool (EOMT) の利用:
    • まだパッチを適用できないユーザー向けに、MicrosoftはPowerShellスクリプトを通じてCVE-2021-26855の脆弱性によるリスクを軽減するツールを推奨しています。
    • URL Rewrite構成を使用して攻撃を軽減したり、cookieがX-BEResourceである接続へのアクセスを禁止したりすることが含まれます。
  • セキュリティ機器による監視と防御:
    • FirewallやIPS（侵入防御システム）でMicrosoft Exchange Serverのポート443への不正アクセスを拒否することで、攻撃の初期段階を阻止することができます。
    • EDRやXDRなどのリアルタイム保護ソリューションを導入し、攻撃の連鎖を断ち切ることも有効です。

5. その他解説すべき観点

  • 攻撃チェーンの一部: CVE-2021-26858は単独で悪用されるよりも、CVE-2021-26855 (SSRF脆弱性) といった他のProxyLogon脆弱性と組み合わせて攻撃チェーンの一部として利用されることが一般的です。 CVE-2021-26855によって認証をバイパスし、その後CVE-2021-26858で任意のファイルを書き込み、最終的にリモートコード実行に至るという流れです。
  • 国家支援型グループによる悪用: この脆弱性は、HAFNIUMとして知られる中国政府の支援を受けたサイバー攻撃グループによって積極的に悪用されました。 このグループは、感染症研究者、法律事務所、高等教育機関、防衛請負業者、政策シンクタンク、NGOなど、米国のさまざまなセクターを標的としていました。
  • ゼロデイ攻撃: この脆弱性は、パッチが公開される少なくとも2ヶ月前から活発に悪用されていた、いわゆるゼロデイ脆弱性でした。 そのため、パッチが適用された後でも、サーバーが既に侵害されている可能性があるため、徹底した侵害調査が不可欠です。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る