更新履歴(初版のみ・2026年10月27日公開)
- 初版公開
Outlookには、予定やタスクの時刻に合わせて音を鳴らすリマインダー機能があります。CVE-2023-23397で悪用されたのは、この音声ファイルを読み込む処理でした。12
細工されたメッセージに外部サーバーの場所が指定されていると、未修正のWindows版Outlookはそこへ接続しようとします。その接続で、WindowsがNTLM認証の応答を攻撃者へ送ってしまう場合がありました。利用者がメール本文を開いたり、リンクをクリックしたりする操作は必要ありません。23
1. 概要
CVE-2023-23397は2023年3月14日に公表されたWindows版Outlookの脆弱性です。漏れるおそれがあるのは、Windowsへログオン中の利用者のNet-NTLMv2応答で、別サービスへの認証やパスワードの解析に悪用され得ます。45 Microsoftの評価はCVSS 3.1の基本値で9.8（Critical）でした。公表時点ですでに悪用も確認されています。6
| 項目 | 内容 |
|---|---|
| CVE | CVE-2023-233976 |
| Microsoftの名称 | Microsoft Outlook Elevation of Privilege Vulnerability6 |
| 公開日 | 2023年3月14日6 |
| 対象機能 | Windows版Outlookのリマインダー音の処理2 |
| 問題の性質 | 外部パスの検証不足によるNTLM認証の誘発67 |
| 利用者の操作 | 不要。プレビュー表示より前に成立し得る3 |
| 主な影響 | Net-NTLMv2応答の漏えいと、その後のNTLMリレーやオフライン解析5 |
| 悪用実績 | あり。MicrosoftとCISAが確認8 |
Outlookのリマインダーには通知時に再生する音声ファイルを指定できます。未修正のOutlookは、信頼できない外部共有が指定されていても接続を試みました。127
flowchart TB
accTitle: リマインダー音の場所がネットワーク接続へ変わる
accDescr: 通常のローカル音声と、細工されたメッセージが指定する外部共有への接続の違いを示します。
A["メッセージのリマインダーが発火"] --> B{"音声ファイルの場所"}
B -->|"端末内"| C["ローカルの音声を再生"]
B -.->|"外部の共有先"| D["SMB接続を開始"]
図1: 音声を読み込むための接続先に、攻撃者のサーバーを指定できました。17
2. 対象
Microsoftが2023年に対象としたのは、当時サポート中だったWindows版Outlookです。Android、iOS、Mac版は対象外でした。Outlook on the webだけを使い、Windows版を併用していない利用者も対象外とされています。メールの保存先がExchange Onlineでも、Exchange Serverや別のサービスでも、Windows版Outlookの更新は必要です。97
未修正のOutlookを使っていても、どの環境でも応答が漏れるわけではありません。外部へ送られるには、次の条件がそろう必要があります。
- 細工されたメッセージをWindows版Outlookが取得し、処理する。3
- リマインダーが発火するときにOutlookが起動している。10
- 端末から攻撃者側の外部共有へSMBのTCP 445で通信できる。11
- Windowsがその接続でNTLM認証を試みる。212
外向きTCP 445が遮断されてSMB接続に失敗すると、WindowsはWebDAVへ切り替えることがあります。ただしMicrosoftの調査では、この脆弱性によるWebDAV接続は、外部IPアドレスへNet-NTLMv2応答を送信しません。外部への漏えい経路はSMBです。11
flowchart TB
accTitle: 外部へのNet-NTLMv2応答送信が成立する条件
accDescr: 未修正のWindows版Outlookによる処理、リマインダーの発火、外向きSMB通信とNTLM認証が重なると外部へ応答が送られます。
A["細工されたメッセージを取得"] --> B["未修正のWindows版Outlookが処理"]
B --> C["Outlook起動中にリマインダーが発火"]
C --> D{"外向きTCP 445が通るか"}
D -->|"通る"| E["SMBでNTLM認証を試みる"]
D -->|"通らない"| F["WebDAVへ切り替わる場合がある"]
E --> G["Net-NTLMv2応答を送信"]
F --> H["この手口では外部へ応答を送らない"]
図2: Outlookが動いているか、端末から外部へSMB通信できるかによっても、応答が送られるかが変わります。211
このとき認証に使われるのは、Windowsへログオン中の利用者の資格情報です。Outlookで複数のメールボックスを開いていても、メッセージの宛先アカウントがそのまま使われるわけではありません。4
2023年当時の対象製品のうち、Outlook LTSC 2021も2026年10月27日時点ではサポートを終了しています。当時の更新を入れた製品でも、その後のセキュリティ更新を受けられなくなったら、サポート中の製品へ移行して更新を続ける必要があります。13
3. 詳細
通常のリマインダー処理
Outlookは予定やタスク、メッセージに設定した時刻になると通知を出します。カスタムの通知音を使うとき、そのファイル名を保存するのが拡張MAPIプロパティのPidLidReminderFileParameterです。Microsoftの仕様にも「リマインダーが期限超過になったときにクライアントが再生する音声のファイル名」と定義されています。1
この項目は通常のリマインダー機能に使われます。Outlookは設定された時刻を確認し、音声ファイルを読み込んで通知を処理します。メール本文を読むための操作とは別に動く処理です。1103
flowchart TB
accTitle: 通常のOutlookリマインダー処理
accDescr: メッセージに保存された時刻と音声ファイル名をOutlookが読み、期限になると音声と通知を処理します。
A["予定・タスク・メッセージ"] --> B["リマインダー時刻"]
A --> C["PidLidReminderFileParameter"]
B --> D["期限を確認"]
C --> E["音声ファイルを参照"]
D --> F["リマインダーを処理"]
E --> F
図3: リマインダーの時刻と音声の場所は、本文とは別のメッセージプロパティとして処理されます。12
外部UNCパスを信用した処理
攻撃者は細工したメッセージのPidLidReminderFileParameterに、管理下のSMB共有を指すUNCパスを設定しました。2 UNCパスは、サーバー名と共有名に続けて、必要に応じてディレクトリやファイル名を書くパスの表記です。14
未修正のOutlookはリマインダーの時刻になると、指定された場所から音声を取得しようとします。保存先が外部のSMBサーバーなら、Windowsはそのサーバーへ接続し、ログオン中の利用者としてNTLM認証を始めます。本文を開く操作は必要ありません。2
flowchart TB
accTitle: 細工されたメッセージからNTLM応答が送られる流れ
accDescr: 攻撃者が指定した外部UNCパスをOutlookが参照し、WindowsがSMB接続でNTLM認証を始めるまでを示します。
A["攻撃者が外部UNCパスをプロパティへ保存"] --> B["細工したメッセージを送る"]
B --> C["Outlookがメッセージを取得・処理"]
C --> D["リマインダーが発火"]
D --> E["外部SMB共有へ接続"]
E --> F["WindowsがNet-NTLMv2応答を送る"]
図4: Outlookによる音声の読み込みが、WindowsのSMB接続とNTLM認証につながります。23
送られた値は何か
NTLM認証では、接続先のサーバーが「チャレンジ」と呼ばれる値を送り、クライアントがログオン資格情報を使って応答を計算します。クライアントが送り返すのはその応答で、パスワードそのものは送信しません。1516 NTLMv2のこのやり取りから得られる値が、Net-NTLMv2と呼ばれています。2
Microsoftの資料にはNet-NTLMv2 hashと出てきます。ただし、これはパスワードから導出されるNTハッシュとは別の値です。図5のように、NTハッシュから応答鍵を求め、接続先のチャレンジなどと合わせて計算した応答がネットワークへ送られます。216
flowchart TB
accTitle: NTハッシュとNet-NTLMv2応答の違い
accDescr: パスワードからNTハッシュなどを経て接続ごとの応答が計算され、ネットワークへはその応答が送られます。
A["利用者のパスワード"] --> B["NTハッシュ"]
B --> C["NTLMv2の応答鍵"]
H["利用者名・ドメイン名"] --> C
D["接続先のチャレンジなど"] --> E["接続ごとの応答を計算"]
C --> E
E --> F["Net-NTLMv2応答"]
F --> G["ネットワークへ送信"]
図5: ネットワークへ送られる応答と、パスワードから導出されるNTハッシュは同じ値ではありません。162
この応答をNTハッシュの代わりにして、Pass-the-Hashで認証することはできません。ただし、認証中のやり取りをNTLM対応の別サービスへ転送するNTLMリレーや、候補パスワードから計算した応答を照合するオフライン解析には悪用され得ます。5
なぜプレビュー前に成立したのか
Outlookは新着メッセージを取得すると、本文の表示とは別にプロパティやリマインダーの時刻を処理します。利用者がメールを選ぶのを待ってから通知音を読み込むわけではありません。103
そのため、未修正環境で細工されたリマインダーが動くと、本文をまだ開いていなくても外部接続が始まる場合がありました。Microsoftが「プレビューウィンドウに表示される前に悪用され得る」と説明しているのは、この自動処理があるためです。3
flowchart TB
accTitle: 本文を表示する前にリマインダー処理が動く
accDescr: メッセージ取得後の自動処理と、利用者が後から行う本文表示が別の経路であることを示します。
A["メッセージを取得"] --> B["プロパティを処理"]
B --> C["リマインダーを処理"]
C --> D["外部共有へ接続し得る"]
A -.-> E["利用者がプレビューや本文を表示"]
図6: リマインダー処理はプレビューや本文の表示を待たずに進みます。3
4. 影響
Microsoftはこの脆弱性によるNet-NTLMv2応答の漏えいと、漏れた情報の悪用を別の段階として説明しています。17 その後の被害は、中継先の保護や、パスワードの推測が成功するかどうかによって変わります。1819
NTLMリレーは進行中の認証を別サービスへ中継する攻撃です。攻撃者はそのサービスからのチャレンジを被害端末へ渡し、端末が計算した応答をサービスへ返します。20 中継先がNTLMを受け付け、SMB署名やExtended Protection for Authenticationなど、そのプロトコルに応じた保護が不足していると、被害者として認証されるおそれがあります。518 MicrosoftはExchange Serverへのリレーによってメールボックスへ不正アクセスした事例を報告しています。21
オフライン解析で使うのは、保存しておいたチャレンジと応答です。攻撃者は候補のパスワードから応答を計算し、取得した値と一致するかを試します。推測が当たるかどうかはパスワードの強さなどに左右され、応答を取得できても解析が成功するとは限りません。519
flowchart TB
accTitle: 進行中の認証の中継と、保存した応答のオフライン解析
accDescr: 誘発されたNTLM認証をその場で別サービスへ中継する経路と、チャレンジと応答を保存して候補パスワードを試す経路を分けます。
A["外部SMBへのNTLM認証を誘発"] --> B["進行中の認証を中継"]
A --> C["チャレンジと応答を保存"]
B --> D{"中継先の保護が不足"}
C --> E["候補パスワードで応答を計算"]
D -.->|"条件がそろう"| F["利用者として認証"]
E --> G{"取得した値と一致"}
G -.->|"一致する"| H["パスワードの推測が成功"]
図7: リレーは進行中のやり取りを中継します。保存した応答を後から別のチャレンジに使う手法ではありません。201918
Microsoftが確認した悪用の可能性を示す痕跡は、2022年4月まで遡ります。公開時の報告で標的とされたのは、欧州の政府、運輸、エネルギー、軍事分野の限られた組織でした。CISAも2023年3月14日に、CVE-2023-23397を既知悪用脆弱性カタログへ追加しています。8
5. 対策
OutlookとWindowsを最新の状態にする
根本対策はOutlookの更新です。修正版は、PidLidReminderFileParameterがローカルまたは信頼済みネットワークの外を指す場合、そのパスをリマインダー音に使いません。メールの保存先や、組織でNTLMを使っているかどうかにかかわらず、MicrosoftはOutlook更新を必要としています。7
Outlookの更新だけでは既知の回避手法が残るため、MicrosoftはWindows側のCVE-2023-29324に対する更新も求めています。22 2023年の個別KBだけで対応を終えず、サポート中のOutlook／OfficeとWindowsの両方へ最新のセキュリティ更新を適用することを勧めます。23
Exchange Onlineと、2023年3月のセキュリティ更新以降を適用したExchange Serverにも対策があります。新しく送受信されるメッセージのTNEF変換時に、問題のプロパティを削除します。ただしOutlookはPSTや別のメールサービスのメッセージも扱うため、Exchange側で除去していてもOutlook自体の更新は必要です。247
外向きの認証経路を狭める
端末、境界ファイアウォール、VPNでインターネット向けTCP 445を遮断すると、外部SMB共有へのNTLM認証を止められます。社外端末がVPNの分割トンネルを使う場合も、VPN外へ出る通信を含めて確認します。12
Active Directoryの重要なユーザーアカウントでは、Protected Usersグループへの追加でNTLM認証を防ぐ方法もあります。Microsoftの案内では、ドメイン機能レベルがWindows Server 2012 R2以降であることなどが前提です。NTLMを必要とする業務アプリや管理者のログオンへ影響するため、適用前に互換性を確かめます。サービス用・コンピューター用アカウントは追加対象にしません。1225
長期的な対策として、MicrosoftはNTLMを使うシステムを洗い出し、依存を減らしてKerberosなどへ移行することを勧めています。26
flowchart TB
accTitle: CVE-2023-23397を複数の層で防ぐ
accDescr: OutlookとWindowsの更新を中心に、Exchangeの多層防御、外向きSMB遮断とNTLM依存の縮小を重ねます。
A["OutlookとWindowsを更新"] --> E["既知の脆弱な処理を止める"]
B["Exchange側の対策"] --> F["新しく送受信するメッセージからプロパティを除く"]
C["外向きTCP 445を遮断"] --> G["外部SMB認証を止める"]
D["NTLM依存を縮小"] --> H["リレー可能な経路を減らす"]
E ~~~ B
F ~~~ C
G ~~~ D
図8: OutlookとWindowsの更新を基本に、メッセージからのプロパティ削除や外部SMB通信の遮断を組み合わせます。722241226
検知結果を三段階に分ける
PidLidReminderFileParameterに信頼できない場所が指定されたメッセージは、その利用者が狙われた可能性を示す強い手掛かりです。実際に外部へ接続しようとしたかを調べるには、外部TCP 445への通信記録や、SMBClientのイベント30800、30803、30804、30806、31001が手掛かりになります。27
ただし、これらのSMBClientイベントが記録するのは接続の失敗です。イベントがあっても、応答を送った証拠にはなりません。また、メールボックスを検索して不審なメッセージが見つからなくても、削除済みのものやPST、別サービスのメールボックスを調べきれていない可能性があります。28
攻撃が成功したかを調べるには、端末、ファイアウォール、認証基盤、Exchange Serverの記録を、時刻と利用者を合わせて突き合わせます。記録から外部接続、異常な認証、メールボックスの操作を時系列で追います。29
Exchange Serverを使う環境では、IISやリバースプロキシのログに加え、Exchange Web Services（EWS）の認証・操作ログも調べます。認証した利用者、接続元、メールボックス操作を追う手掛かりになりますが、これらのログもOutlookから応答が漏れたことを直接示すものではありません。30
flowchart TB
accTitle: 調査で区別する三つの状態
accDescr: 不審なメッセージ、外向き接続の記録、異常な認証や事後活動を、標的化、接続試行、悪用成功を疑う手掛かりとして分けて扱います。
A["不審なリマインダープロパティ"] --> B["標的化の手掛かり"]
C["外部SMB通信や失敗イベント"] --> D["接続試行の手掛かり"]
E["異常な認証やメールボックス操作"] --> F["悪用成功を疑う手掛かり"]
B ~~~ C
D ~~~ E
B --> G["時刻と利用者をそろえて照合"]
D --> G
F --> G
図9: メッセージ、接続試行、認証後の操作について、それぞれの記録を照合します。27282129
不審なメッセージや外部接続が見つかった場合は、再発する経路を更新と通信制御で止め、該当端末へログオンしていたアカウントのパスワードを変更します。31 異常な認証、メールボックス権限の変更、追加メッセージの送信なども調べます。21 多要素認証はリレー後の影響を抑える場合がありますが、応答の漏えいとオフライン解析は防ぎません。31
6. 教訓
ここからは、発生経路と修正内容を踏まえた設計・運用上の考察です。
CVE-2023-23397で悪用されたのは、音声ファイルを読み込むための処理でした。利用者に本文中のURLを開かせなくても、ファイルの場所を指定することで、その読み込みに伴う接続や認証を引き起こせる場合がありました。23
外部からパスを受け取る機能をレビューするときは、その値が後のファイル参照、名前解決、ネットワーク接続、認証へどう使われるかを追う必要があります。信頼できる保存先の範囲を決め、範囲外なら接続を始めない設計が求められます。32 今回のOutlookの修正も、信頼範囲外のパスを音声の読み込みに使わないようにするものでした。7
今回のSMB接続では、メールの宛先が誰であってもWindowsへログオン中の利用者の資格情報が使われます。4 この違いを踏まえると、アプリがどこから入力を受け取り、どのプロセスで処理し、OSが誰として認証するかまで確認する必要があります。32
受信メールの検査に加えて端末の外向き通信を制限することも対策になります。業務でインターネット向けSMBを使わないなら、TCP 445を遮断しておくことで、この脆弱性による外部SMBへの認証送信を防げます。12
この記事は公開された一次資料に基づく仕組みの解説です。細工したメッセージの作成、資格情報の取得、NTLMリレーの再現は行っていません。
図の実線は常に成り立つ関係、破線は条件付きの関係です(成立条件は詳細ページの各関係の説明に記載)。関係すべての一覧(全22件、根拠・確度つき)と主要概念の定義は知識マップ詳細ページにまとめています。データ: JSON-LD / Turtle
関連記事
参考リンク
本文・表・図の脚注とFAQの出典リンクから、根拠となる資料の節やデータ項目へ辿れます。仕様から組み立てた説明と設計上の考察は、その旨を脚注にも記しています。知識マップの各関係にも根拠URL・参照箇所・成立条件・確認日を記載しています。確認日は2026年10月27日です。2023年当時の製品一覧と、確認日時点のサポート状況は分けて記載しています。
-
Microsoft Open Specifications, PidLidReminderFileParameter. 参照箇所:
Description、Property long ID、Area。期限超過のリマインダーで再生する音声ファイル名を表すプロパティであることの根拠です。 ↩ ↩2 ↩3 ↩4 ↩5 ↩6 -
Microsoft Security, Guidance for investigating attacks using CVE-2023-23397. 参照箇所: 同節の検索語
PidLidReminderFileParameter、UNC path、does not need to interact。細工したメッセージ、外部SMB共有、利用者の操作なしでNet-NTLMv2応答が送られる流れの根拠です。 ↩ ↩2 ↩3 ↩4 ↩5 ↩6 ↩7 ↩8 ↩9 ↩10 ↩11 ↩12 ↩13 ↩14 -
Microsoft Security Response Center, CVE-2023-23397の機械可読データ. 参照箇所:
articles配列内のFAQ、検索語Preview Paneとretrieved and processed。細工されたメールをOutlookが取得・処理すると、プレビュー表示より前に悪用が成立し得る説明です。 ↩ ↩2 ↩3 ↩4 ↩5 ↩6 ↩7 ↩8 ↩9 -
Microsoft Security, Guidance for investigating attacks using CVE-2023-23397. 参照箇所: 同節の検索語
belongs to the user signed in。メッセージの受信者ではなく、Outlookを動かすWindowsへログオン中の利用者の応答が対象になることの根拠です。 ↩ ↩2 ↩3 -
Microsoft Security Response Center, CVE-2023-23397の機械可読データ. 参照箇所:
articles配列内のFAQ、検索語NTLM Relay attack。応答を別サービスへの認証へ中継し得ることの根拠です。Pass-the-Hashに直接使えず、オフライン解析に使われ得る点はMicrosoft Securityの調査ガイドで検索語Pass-the-Hashを参照しました。 ↩ ↩2 ↩3 ↩4 ↩5 -
Microsoft Security Response Center, CVE-2023-23397の機械可読データ. 参照箇所:
cveTitle、releaseDate、severity、baseScore、vectorString、exploited、cweList。名称、公開日、Critical、CVSS 3.1基本値9.8、悪用確認、CWE-20の根拠です。 ↩ ↩2 ↩3 ↩4 ↩5 -
Microsoft Security Response Center, Microsoft Mitigates Outlook Elevation of Privilege Vulnerability. 参照箇所:
FixとReleases for Microsoft Products、検索語only using the pathとregardless of where your mail is hosted。修正版が信頼範囲外のパスを使わないこと、メールの保存先やNTLM利用にかかわらずOutlook更新が必要であることの根拠です。 ↩ ↩2 ↩3 ↩4 ↩5 ↩6 ↩7 ↩8 -
Microsoft Security, Guidance for investigating attacks using CVE-2023-23397. 参照箇所:
Understanding the CVE-2023-23397 vulnerabilityの検索語evidence of potential exploitationとApril 2022。Microsoftが遡って確認した、悪用の可能性を示す痕跡の時期です。CISA, Known Exploited Vulnerabilities Catalogの公式JSON. 参照箇所:cveIDがCVE-2023-23397の要素。dateAddedとshortDescriptionが2023年3月14日の追加とNTLMリレーの説明を支えます。標的分野はMicrosoft Security Response Center, Microsoft Mitigates Outlook Elevation of Privilege VulnerabilityのAcknowledgementを参照しました。 ↩ ↩2 -
Microsoft Security, Guidance for investigating attacks using CVE-2023-23397. 参照箇所:
Understanding the CVE-2023-23397 vulnerabilityの検索語All versions of Microsoft Outlook on Windows。Windows版と、Android、iOS、Mac、OWAのみの利用者を区別する根拠です。当時サポート中の製品が対象という範囲は、MSRCの修正告知のImpacted Products、検索語All supported versions of Microsoft Outlook for Windowsを参照しました。 ↩ -
Microsoft Security, Guidance for investigating attacks using CVE-2023-23397. 参照箇所:
Understanding the CVE-2023-23397 vulnerabilityのif Outlook on Windows is open when the reminder is triggeredと、図1のカスタム通知音の説明。Outlookが起動中で、リマインダーが発火するという条件を支えます。 ↩ ↩2 ↩3 -
Microsoft Security, Guidance for investigating attacks using CVE-2023-23397. 参照箇所: 同節の検索語
WebDAV protocolとexternal threat actor can only exploit。外部IPへのNet-NTLMv2応答送信はSMB経由であり、WebDAVへ切り替わった場合には送られないという説明です。 ↩ ↩2 ↩3 -
Microsoft Security, Guidance for investigating attacks using CVE-2023-23397. 参照箇所:
Recommendationsの検索語Protected Users、Block TCP 445/SMB outbound、split tunnel VPN。高価値アカウントのNTLM抑止、端末・境界・VPNでの外向きSMB遮断と互換性への注意の根拠です。 ↩ ↩2 ↩3 ↩4 ↩5 -
Microsoft Lifecycle, Outlook LTSC 2021. 参照箇所:
Support DatesのMainstream End Date。2026年10月27日の確認日にはサポート終了済みです。本文の移行推奨はこの終了状況と、セキュリティ更新を受けられる状態を保つ目的から導いた運用上の提案です。 ↩ -
Microsoft Learn, File path formats on Windows systems. 参照箇所:
UNC pathsの構成要素A server or host name、A share name、A directory name、An optional filename。ネットワーク資源を表すUNCパスの定義です。 ↩ -
Microsoft Learn, Microsoft NTLM. 参照箇所:
NTLM authenticationのwithout sending the user's password over the wireと、NTLM noninteractive authenticationの手順3〜5。チャレンジ・レスポンスによる認証と、平文パスワードをネットワークへ送らないことの根拠です。 ↩ -
Microsoft Open Specifications, NTLM v2 Authentication. 参照箇所:
NTLM v2 Authenticationの擬似コード、検索語NTOWFv2、CHALLENGE_MESSAGE、AUTHENTICATE_MESSAGE。NTハッシュから応答鍵を導出し、サーバーのチャレンジなどからNTProofStrとNTLMv2応答を計算する関係の根拠です。図5は値を省略した概念図です。 ↩ ↩2 ↩3 -
Microsoft Security, Guidance for investigating attacks using CVE-2023-23397. 参照箇所: 冒頭の
This vulnerability triggers a Net-NTLMv2 hash leakとAbuse of the leaked Net-NTLMv2 hash is post-exploitation activity。漏えいそのものと、その後の悪用を分ける根拠です。 ↩ -
Microsoft Security Response Center, Mitigating NTLM Relay Attacks by Default. 参照箇所: 検索語
CVE-2023-23397とEPA。CVE-2023-23397をExchange Serverへ中継した事例と、EPAをNTLMリレーへの保護として説明する箇所を参照しました。SMBについてはMicrosoft Learn, Overview of Server Message Block signingのSecurity considerations in SMB2 and SMB3を参照し、署名がリレー攻撃を防ぐ説明を確認しました。 ↩ ↩2 ↩3 -
Microsoft Open Specifications, MS-NLMP §3.3.2 NTLM v2 Authentication. 参照箇所:
NTOWFv2(Passwd, User, UserDom)とComputeResponse、NTProofStr。候補パスワードから同じ入力条件で応答を計算して照合する説明は、この擬似コードから導いたものです。サーバーのチャレンジだけでなく、利用者名・ドメイン名、応答に含まれるクライアント側の値も用います。パスワードの強さが推測の成否に関わるという本文の説明も、この候補照合からの考察であり、特定のパスワードを解析した実測ではありません。オフライン解析が可能であること自体は、Microsoftの調査ガイドのperform offline crackingに記載されています。 ↩ ↩2 ↩3 -
Microsoft Security Response Center, Mitigating NTLM Relay Attacks by Default. 参照箇所:
Backgroundの二段階、Coercing a victim to authenticateとRelaying the authentication。本文と図7は、この中継の説明をMicrosoft Open Specifications, MS-NLMP §3.3.2のCHALLENGE_MESSAGE.ServerChallengeを用いる応答計算と合わせて、チャレンジと応答の流れとして説明したものです。保存した応答を後から別のチャレンジに使う手法ではありません。 ↩ ↩2 -
Microsoft Security, Guidance for investigating attacks using CVE-2023-23397. 参照箇所:
Observed post-exploitation actionsのInitial accessからDiscovery/persistence。Exchange ServerへのNet-NTLMv2リレーと、その後に観測されたメールボックス操作の根拠です。成立条件の一般化には用いていません。 ↩ ↩2 ↩3 -
Microsoft Security Response Center, CVE-2023-29324の機械可読データ. 参照箇所:
articles配列内のFAQ、検索語fully protected。完全な保護にはCVE-2023-23397とCVE-2023-29324の両方の更新が必要という説明の根拠です。 ↩ ↩2 -
Microsoft Security, Guidance for investigating attacks using CVE-2023-23397. 参照箇所:
RecommendationsのEnsure Microsoft Outlook is updated as soon as possible。両方の更新が必要というCVE-2023-29324のFAQと、Outlook LTSC 2021のサポート終了状況も踏まえ、本文ではサポート中の製品を最新の状態に保つ運用を提案しています。2023年の資料が2026年の更新番号を指定しているという意味ではありません。 ↩ -
Microsoft Security Response Center, Microsoft Mitigates Outlook Elevation of Privilege Vulnerability. 参照箇所:
Releases for Microsoft Productsの表、検索語TNEF conversion。Exchange Onlineと2023年3月のセキュリティ更新を適用したExchange Serverが、新しく送受信するメッセージからプロパティを削除する多層防御の根拠です。 ↩ ↩2 -
Microsoft Learn, Protected Users security group. 参照箇所:
Prerequisites、Domain controller protections for Protected UsersのAuthenticate with NTLM authentication、How the Protected Users group worksのImportant。必要なドメイン機能レベル、NTLMの制限、サービス・コンピューター用アカウントを追加しないこと、特権ユーザーを追加する前にログオンへの影響を試験することの根拠です。 ↩ -
Microsoft Security Response Center, Mitigating NTLM Relay Attacks by Default. 参照箇所:
Looking ahead: The future of NTLMのcatalogue and reduce dependencies of NTLM usageとprotocols like Kerberos。NTLMへの依存の調査・縮小と、Kerberosなどへの移行を勧める記述です。 ↩ ↩2 -
Microsoft Security, Guidance for investigating attacks using CVE-2023-23397. 参照箇所:
Hunting strategicallyとMicrosoft-Windows-SMBClient/Connectivity event logs、検索語30800。不審なプロパティ、外部SMB通信、SMBClientイベントを組み合わせる調査の根拠です。 ↩ ↩2 -
Microsoft Security, Guidance for investigating attacks using CVE-2023-23397. 参照箇所: 検索語
cannot be used to confirm whether credentials were leaked、PST、deleted from Exchange。失敗イベントだけでは漏えいを確認できないことと、メールボックス検索で見えない保存場所があることの根拠です。 ↩ ↩2 -
Microsoft Security, Guidance for investigating attacks using CVE-2023-23397. 参照箇所:
Hunting strategically、Artifacts on endpoints、Exchange Server logs、Observed post-exploitation actions。本文と図9の三段階への整理と、時刻・利用者で記録を照合する説明は、これらの調査対象を組み合わせた整理です。単独のログで漏えいや悪用成功を断定できるという意味ではありません。 ↩ ↩2 -
Microsoft Security, Guidance for investigating attacks using CVE-2023-23397. 参照箇所:
Exchange Server logsのExchange IIS logs、Reverse Proxy Logs、EWSLogs。AuthenticationType、ClientIpAddress、AuthenticatedUser、SoapActionsが認証・操作の調査項目です。同節冒頭のdo not provide value in determining whether a NTLMv2 hash was leakedが、漏えいそのものを確認するログではないという限定を支えます。 ↩ -
Microsoft Security, Guidance for investigating attacks using CVE-2023-23397. 参照箇所:
Recommendationsの検索語reset the passwordsとmultifactor authentication。対象端末へログオンしていたアカウントのパスワード変更、インシデント対応、多要素認証では漏えいとオフライン解析を防げないという説明の根拠です。 ↩ ↩2 -
Microsoft Security Response Center, Microsoft Mitigates Outlook Elevation of Privilege Vulnerabilityの
Fixと、Microsoft調査ガイドのbelongs to the user signed inが考察の前提です。パスの利用先と認証主体まで追うという設計レビューの提案は、この二つの事実から導いたものです。Microsoftの設計規則を引用したものではありません。 ↩ ↩2
関連する記事
同じタグを共有する最新の記事です。さらに近い話題で知識を深められます。
MS14-068で普通のユーザーが管理者になれた理由 ── KerberosのPACと署名検証
MS14-068（CVE-2014-6324）では、一般ユーザーが偽ったグループ情報をKDCが受け入れ、ドメイン管理者として扱われ得ました。PAC、鍵付き署名とチェックサムの違い、権限への反映、修正と検知の限界を解説します。
CurveBall――偽の証明書を、なぜWindowsが信頼してしまったのか？ ── CryptoAPIと楕円曲線のパラメーター
CurveBall（CVE-2020-0601）は、偽の証明書を信頼された認証局のものと取り違えるWindowsの脆弱性でした。公開鍵の点と基準点の関係から、署名の計算が正しくても信頼の判定が崩れる理由を解説します。
PrintNightmareはなぜSYSTEM権限を奪えたのか？ ── 印刷スプーラーとドライバー導入の境界
PrintNightmare（CVE-2021-34527）は、印刷スプーラーのドライバー導入機能からSYSTEM権限のコード実行に至る脆弱性でした。通常の印刷との違い、DLLが実行される過程、Point and Printとの関係、2021年の対策を解説します。
Zerologonはなぜ認証を突破できたのか？ ── Netlogonでゼロが正解になった理由
Zerologon（CVE-2020-1472）では、パスワードを知らない相手がコンピューターになりすませました。AES-CFB8の計算を1バイトずつ追い、ゼロが認証の正解になる理由と、ドメイン全体に被害が広がる仕組みを解説します。
共有フォルダにつながったり、つながらなかったりする理由 ── Kerberos・NTLM・資格情報を切り分ける
共有フォルダの接続失敗を、通信・実行主体・認証と保護・権限に分けて診断します。名前とIP、1219、空パスワード、SMB署名、再起動で変わる状態を、記録採取・操作手順・結果の確認に沿って説明します。
関連トピック
このテーマと近いトピックページです。記事を起点に、関連するサービスや他の記事へ進めます。
Windows技術トピック
Windows 開発、不具合調査、既存資産活用の技術トピックをまとめた入口です。
このテーマがつながるサービス
この記事は次のサービスページにつながります。近い入口からご覧ください。
Windowsアプリ開発
業務アプリ、装置連携、通信ツールなどの Windows ソフト開発を支援します。
よくある質問
この記事のテーマについて、相談時によくある質問をまとめています。
- 細工されたメールを開かなければ、CVE-2023-23397の影響を避けられますか？
- いいえ。未修正のWindows版Outlookでは、メッセージを取得してリマインダーを処理するだけで問題が起き得ました。本文やプレビューウィンドウを表示する操作は必要ありません。
参考情報
- CVE-2023-23397で平文パスワードやNTハッシュが漏れたのですか？
- そのまま漏れたわけではありません。送信されるのは、接続先が提示したチャレンジに対して端末が計算したNet-NTLMv2応答です。進行中の認証は別サービスへのNTLMリレーに、保存されたチャレンジと応答はパスワードを推測するオフライン解析に悪用され得ます。Pass-the-Hashへ直接使うNTハッシュとは異なります。
参考情報
- Mac版OutlookやOutlook on the webも対象ですか？
- Microsoftの2023年の案内では、Android、iOS、Mac版と、Windows版Outlookを併用しないOutlook on the webの利用者は対象外です。この記事は当時のWindows向けデスクトップ版Outlookを扱います。
参考情報
- インターネット向けTCP 445を遮断すれば、更新は不要ですか？
- いいえ。TCP 445の遮断は外部SMBへの認証送信を止める緩和策で、Outlookの脆弱な処理を直す更新ではありません。Microsoftはメールの保存先やNTLMの利用状況にかかわらずOutlook更新を必要としています。社外端末では分割トンネルVPNも含めて遮断を確認します。
参考情報
- 多要素認証を有効にすれば、この脆弱性は防げますか？
- 多要素認証はNTLMリレー後の被害を抑える場合がありますが、Outlookから応答が送られることや、取得された応答のオフライン解析は防ぎません。更新と外向きSMB通信の制御を先に確認します。
参考情報