リモートの Microsoft Exchange Server は、Extended Protection for Authentication (EPA) を適用せずに Mailbox Replication Service Proxy (MRSProxy) WCF エンドポイントを公開します。/Microsoft.Exchange.MailboxReplicationService.ProxyService のエンドポイントは HTTP.sys によって直接ホストされ、チャネルバインディングトークンを要求せずに NTLM 認証を受け入れます。

ネットワーク上の 2 つの Exchange サーバーに到達できる認証されていない攻撃者が、以下のようにして悪用する可能性があります。

  1. PetitPotam (MS-EFSR、未認証) を使用して、攻撃者のリレーリスナーに対する認証を Exchange サーバー B に強制する。

  2. キャプチャしたマシンアカウントの SMB の NTLM ハッシュを Exchange サーバー A 上の MRSProxy HTTPS エンドポイントにリレーする。EPA が強制されていないため、クロスプロトコルが変更されてもリレーは成功します。

  3. マシンアカウントは ms-Exch-EPI-Token-Serialization 権限を保持し、認証されると完全な MRSProxy アクセスを許可する。

  4. 攻撃者が制御するファイルパスで IMailbox_Config6 を呼び出す。
     PstDestinationMailbox.ConfigPst() は拡張検証を実行しないため、.aspx webshell パスが許可されます。

  5. IMailbox_Connect を呼び出すと、PSTSession.Open() がトリガーされ、ファイルをディスクに書き込み、SYSTEM レベルの RCE が生成される。

Nessus は、MRSProxy エンドポイントが到達可能であり、NTLM 認証を提供し、NTLM タイプ 2 チャレンジでチャネルバインディング (EPA) を強制しないことを確認しました。これは、リレー攻撃を可能にする状態です。

注意:このチェックは、ターゲットへのファイルの書き込み、認証情報の中継または送信を行わず、認証されたセッションを確立しません。認証されていない NTLM ハンドシェイクプローブのみを実行します。

検出

Microsoft Exchange Server MRSProxy 事前認証 NTLM リレー RCE (CVE-2026-62911)

high Nessus プラグイン ID 342664

バージョン 1.3