Microsoft Exchange Server MRSProxy 事前認証 NTLM リレー RCE (CVE-2026-62911)
high Nessus プラグイン ID 342664
Language:
概要
リモートの Microsoft Exchange Server は、NTLM リレーを介した事前認証リモートコード実行攻撃に対して脆弱です。説明
リモートの Microsoft Exchange Server は、Extended Protection for Authentication (EPA) を適用せずに Mailbox Replication Service Proxy (MRSProxy) WCF エンドポイントを公開します。/Microsoft.Exchange.MailboxReplicationService.ProxyService のエンドポイントは HTTP.sys によって直接ホストされ、チャネルバインディングトークンを要求せずに NTLM 認証を受け入れます。ネットワーク上の 2 つの Exchange サーバーに到達できる認証されていない攻撃者が、以下のようにして悪用する可能性があります。
1. PetitPotam (MS-EFSR、未認証) を使用して、攻撃者のリレーリスナーに対する認証を Exchange サーバー B に強制する。
2. キャプチャしたマシンアカウントの SMB の NTLM ハッシュを Exchange サーバー A 上の MRSProxy HTTPS エンドポイントにリレーする。EPA が強制されていないため、クロスプロトコルが変更されてもリレーは成功します。
3. マシンアカウントは ms-Exch-EPI-Token-Serialization 権限を保持し、認証されると完全な MRSProxy アクセスを許可する。
4. 攻撃者が制御するファイルパスで IMailbox_Config6 を呼び出す。
PstDestinationMailbox.ConfigPst() は拡張検証を実行しないため、.aspx webshell パスが許可されます。
5. IMailbox_Connect を呼び出すと、PSTSession.Open() がトリガーされ、ファイルをディスクに書き込み、SYSTEM レベルの RCE が生成される。
Nessus は、MRSProxy エンドポイントが到達可能であり、NTLM 認証を提供し、NTLM タイプ 2 チャレンジでチャネルバインディング (EPA) を強制しないことを確認しました。これは、リレー攻撃を可能にする状態です。
注意:このチェックは、ターゲットへのファイルの書き込み、認証情報の中継または送信を行わず、認証されたセッションを確立しません。認証されていない NTLM ハンドシェイクプローブのみを実行します。
ソリューション
2026 年 8 月の Microsoft Exchange Server 累積更新プログラムを適用し、すべての EWS 仮想ディレクトリで ExtendedProtectionTokenChecking を Require に設定してください。パッチをインストールするだけでは不十分です。EPA の適用を明示的に有効にする必要があります。Exchange 管理シェルから、Microsoft の公式スクリプトを使用してください:
.\\ExchangeExtendedProtectionManagement.ps1 (https://aka.ms/ExchangeEPScript)
注: SSL オフロード (ロードバランサーでの TLS 終端) を使用している環境では、Require を有効にする前に追加の分析が必要です。https://aka.ms/ExchangeEPDoc を参照してください
参考資料
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-62911
プラグインの詳細
深刻度: High
ID: 342664
ファイル名: exchange_cve-2026-62911.nbin
バージョン: 1.5
タイプ: Remote
エージェント: windows
ファミリー: Windows
公開日: 2026/9/3
更新日: 2026/10/29
サポートされているセンサー: Nessus
リスク情報
VPR
リスクファクター: High
スコア: 7.9
パーセンタイル: 99.35
CVSS v2
リスクファクター: High
基本値: 9
現状値: 7
ベクトル: CVSS2#AV:N/AC:L/Au:S/C:C/I:C/A:C
CVSS スコアのソース: CVE-2026-62911
CVSS v3
リスクファクター: High
基本値: 8
現状値: 7.2
ベクトル: CVSS:3.0/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C
脆弱性情報
CPE: cpe:/a:microsoft:exchange_server
必要な KB アイテム: installed_sw/Exchange Server
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2026/7/8
脆弱性公開日: 2026/5/15
参照情報
CVE: CVE-2026-62911