Microsoft ExchangeサーバーMRSProxy事前認証NTLMリレーRCE(CVE-2026-62911)
high Nessus プラグイン ID 342664
Language:
概要
リモートのMicrosoft Exchange Serverは、NTLMリレーを介した事前認証リモートコード実行攻撃に対して脆弱です。説明
リモートの Microsoft Exchange Server は、Extended Protection for Authentication (EPA) を適用せずに Mailbox Replication Service Proxy (MRSProxy) WCF エンドポイントを露出します。/Microsoft.Exchange.MailboxReplicationService.ProxyService のエンドポイントは HTTP.sys によって直接ホストされ、チャネル バインディング トークンを必要とせずに NTLM 認証を受け入れます。ネットワーク上の2つのExchangeサーバーに到達できる認証されていない攻撃者が、以下を悪用する可能性があります。
1. PetitPotam(MS-EFSR、未認証)を使用して、攻撃者のリレーリスナーに対する認証をExchangeサーバーBに強制する。
2. キャプチャしたマシンアカウントのNTLMハッシュをSMBからExchangeサーバー上のMRSProxy HTTPSエンドポイントにリレーします。EPA が強制されていないため、クロスプロトコルが変更されてもリレーは成功します。
3. マシンアカウントは ms-Exch-EPI-Token-Serialization 権限を保持し、認証されると完全な MRSProxy アクセスを許可します。
4. 攻撃者が制御するファイルパスでIMailbox_Config6を呼び出す。
PstDestinationMailbox.ConfigPst() は拡張検証を実行しないため、.aspx webshell パスが許可されます。
5. PSTSession.Open() をトリガーし、ファイルをディスクに書き込み、SYSTEM レベルの RCE を生成する IMailbox_Connect を呼び出す。
Nessusは、MRSProxyエンドポイントが到達可能であり、NTLM認証を提供し、リレー攻撃を可能にする状態であるNTLMタイプ2チャレンジでチャネルバインディング(EPA)を強制しないことを確認しました。
注意:このチェックは、ターゲットへのファイルの書き込み、認証情報の中継または送信を行わず、認証されたセッションを確立しません。認証されていない NTLM ハンドシェイクプローブのみを実行します。
ソリューション
2026 年 8 月の Microsoft Exchange Server 累積的な更新プログラムを適用してください。参考資料
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-62911
プラグインの詳細
深刻度: High
ID: 342664
ファイル名: exchange_cve-2026-62911.nbin
バージョン: 1.2
タイプ: Remote
エージェント: windows
ファミリー: Windows
公開日: 2026/9/3
更新日: 2026/9/4
サポートされているセンサー: Nessus
リスク情報
VPR
リスクファクター: High
スコア: 7.9
パーセンタイル: 99.36
CVSS v2
リスクファクター: High
基本値: 9
現状値: 7
ベクトル: CVSS2#AV:N/AC:L/Au:S/C:C/I:C/A:C
CVSS スコアのソース: CVE-2026-62911
CVSS v3
リスクファクター: High
基本値: 8
現状値: 7.2
ベクトル: CVSS:3.0/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C
脆弱性情報
CPE: cpe:/a:microsoft:exchange_server
必要な KB アイテム: installed_sw/Exchange Server
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2026/7/8
脆弱性公開日: 2026/5/15
参照情報
CVE: CVE-2026-62911