Microsoft Exchangeの脆弱性、任意のメールアドレスへのなりすましを可能に

Microsoft Exchangeの特定の構成に存在する弱点を悪用すると、攻撃者は脆弱な組織に対して任意のユーザーを差出人に偽装したメールを送信できることが明らかになりました。

これは、スイスのサイバーセキュリティ企業InfoGuardが本日公開した調査結果によるものです。同社はこの新たな脆弱性を「Ghost-Sender」と命名しました。具体的には、Exchange Onlineまたはオンプレミスをハイブリッドモードで使用しており、かつMXレコード（メール交換レコード）にサードパーティのメールサーバーやスパムフィルターを指定している組織が、このなりすまし攻撃の対象となります。MXレコードとは、組織のドメインに届くメッセージを特定のサーバーに転送するDNSレコードの一種です。

「なりすまし送信者のドメインに設定されたSPF、DKIM、DMARCポリシーに関わらず、メールはいかなる警告も表示されることなく配信されます」とInfoGuardはブログ記事で述べています。

「外部・内部を問わず、あらゆるメールアドレスからメールを送信することが可能です。内部送信者の場合、Outlookは送信者のプロフィール画像まで表示します」とInfoGuardは付け加えており、Microsoftの公式noreplyアカウントを装ったメールをユーザーが受信した実例も紹介しています。攻撃者はこの手法を使って、公式の請求メールアドレスから偽の請求書を送りつけたり、社内のCEOの実際のメールアドレスを悪用してフィッシング攻撃や詐欺を実行したりすることができます。

研究者らは、これが広く見られる設定ミスであると指摘しています。緩和策は存在するものの、外部向けMXレコードを使用している組織のうち、実際に対策を講じているのは半数にも満たないとのことです。

さらに懸念されるのは、「Microsoftサポートから提供された情報によれば、この問題またはそれに類似した問題が現在も積極的に悪用されているようです」とブログ記事が述べている点です。InfoGuardによれば、Microsoftは確認されたなりすまし攻撃に対する緩和策を展開した後、それを撤回したとのことです。

Ghost-Senderの仕組み

InfoGuardによれば、デフォルト設定のExchange Onlineは、組織が外部MXレコードを使用している場合、すべての受信メールを無条件に受け入れます。攻撃者は1行のPowerShellコマンドを実行するだけで、任意のユーザーを差出人に指定したメールを送信できます。

「外部MXレコードを使用していて追加の設定が行われていない場合、その組織はGhost-Senderに対して脆弱な状態にあります」とInfoGuardは説明しています。あまりにも手軽に悪用できることから、同社はドメインをスキャンして承認済みユーザーにメールを送信できるテストツールまで作成しています。

研究者らによると、Microsoftの設定アナライザーは警告や推奨事項を表示せず、設定が脆弱な状態にある場合の警告も一切出力されません。また、拡張フィルタリングやExchange保護の「厳格」・「標準」設定もこの問題を防ぐことはできないとされています。

Exchange OnlineまたはオンプレミスのMicrosoft Exchangeをハイブリッドモードで使用している組織は、Ghost-Senderの脅威を二つの方法で緩和できます。一つは、任意の組織宛てのメールに適用するパートナー組織コネクタを設定するか、IPまたは証明書ベースの検証でメールを拒否する方法です。

もう一つは、「X-MS-Exchange-Organization-AuthAsヘッダーがInternalに設定されておらず、かつIPアドレスがExchange Onlineへのメール送信が想定されるもの（MXレコードが指すメールサーバーなど）に該当しない、すべてのメールを隔離する」メールフロールールを作成する方法です。

InfoGuardが提供するテストツールを使用して、緩和策の有効性を確認することも可能です。また研究者らは、Direct Send機能を無効化することを推奨しています。この設定だけで内部なりすましを単独で防止できるためです。

Ghost-Senderをめぐる経緯と疑問の残る対応

ブログの「タイムライン」セクションによると、InfoGuardは4月にMicrosoft Security Response Center（MSRC）に最初の報告を行いましたが、Microsoftはこれをセキュリティ脆弱性とは見なさないとして、非MSRCケースとして対応を打ち切ったとのことです。

その後InfoGuardはMicrosoftの一般サポートに窓口を移されましたが、断続的なコミュニケーションが続き、5月29日にようやくMicrosoft一般サポートから「Ghost-Senderは製品の脆弱性ではなく、既知のアーキテクチャ上の制限である」との回答を受けたとブログ記事は伝えています。「MXレコードをM365に変更するか、転送メールにヘッダーを追加するかのいずれかを提案されましたが、後者は問題の解決にはなりません」と同社は述べています。

Dark ReadingはMicrosoftにコメントを求めましたが、本稿執筆時点では回答は得られていません。

Dark ReadingはInfoGuardに対し、緩和策を適用した後に自社が攻撃対象になっていたかどうかを確認する方法を尋ねました。InfoGuardのRedTeam担当スポークスパーソンによると、顧客ごとにExchangeのライセンス、テナント、設定が多岐にわたるため、信頼性の高い侵害の痕跡（IoC）を特定することは困難とのことです。

「一つの選択肢として、受信した全メールの受信ヘッダーを確認し、メールゲートウェイの経路に不審な点がないかチェックする方法があります」とスポークスパーソンは述べています。「攻撃者がゴーストセンド時に送信経路の情報を正確に偽装するには、メールパス上の機器の内部IPアドレスや内部ホスト名といった内部情報が必要になります。」