「Microsoft Exchange 2013」とそれ以降にゼロデイ脆弱性「PrivExchange」

　「Microsoft Exchange 2013」とそれ以降のバージョンに、Pythonで書かれた簡単なツールを使えば、一般のメールボックスユーザーの認証情報1つだけで、ドメインコントローラーの権限が獲得できる深刻なゼロデイ脆弱性が存在することが明らかになった。

　この「PrivExchange」と名付けられたゼロデイ脆弱性の詳細は、オランダのサイバーセキュリティ企業の研究者Dirk-jam Mollema氏によって、現地時間1月21日に公開された。

　同氏によれば、このゼロデイ脆弱性は単一のセキュリティホールではなく、（デフォルトの）設定やメカニズムを3つ組み合わせて利用することで、ハッキングされた電子メールアカウント1つから、企業のドメインコントローラーの管理者まで権限を昇格させることができるという。Mollema氏が示した3つの要素は以下の通りだ。

• Microsoft Exchangeサーバには、「Exchange Web Services」（EWS）と呼ばれる機能があり、これを悪用することで、Exchangeサーバに、攻撃者の制御下にあるウェブサイトをExchangeサーバのコンピュータアカウントとして認証させることができる。
• この認証には、HTTPを介して送信されたNTLMハッシュが使用される。ExchangeサーバではHTTPを介したNTLM認証にSignフラグおよびSealフラグが設定されないため、NTLM認証に中継攻撃を行うことによって、攻撃者がExchangeサーバのNTLMハッシュ（Windowsコンピュータアカウントのパスワード）を入手できてしまう。
• デフォルトの状態のMicrosoft Exchangeサーバは、多くの強力な権限を持っており、攻撃者が不正に入手したExchangeサーバのコンピュータアカウントを利用することで、ドメインコントローラーの管理者権限を獲得できる。この権限が奪われてしまえば、攻撃者は自由にバックドアアカウントを作成できる。

　PrivExchangeは、最新のアップデートを適用したバージョンのMicrosoft ExchangeおよびWindows Serverドメインコントローラーでも悪用できることが確認されている。

　Microsoftはまだこのゼロデイ脆弱性に対する緊急パッチを公開していない。ただしMollema氏は、ブログ記事でこの攻撃を防ぐいくつかの緩和策を提示している。

　また、CERT/CCのこの記事でも同じ緩和策が示されている（訳注：JP/CERTとIPAが運営しているJVNでも、JVNVU#97449410で基本的に同じ緩和策を示している）。

　今回の脆弱性は早急に対応すべき深刻なものだ。すでに概念実証ツールが公開されているため簡単に実行できる上に、もし悪用されれば、攻撃者に企業のWindowsインフラを完全に乗っ取られてしまうことになる。