@prefix schema: .
@prefix skos: .
@prefix rdf: .
@prefix ks: .
schema:about , , ;
schema:mentions , , , , , , , , , , , , , , .
a skos:Concept ;
skos:prefLabel "CVE-2023-23397"@ja ;
skos:definition "細工されたメッセージを未修正のWindows版Outlookが処理すると、利用者がメッセージを開かなくても外部SMB接続とNet-NTLMv2応答の送信を誘発し得る、2023年に修正された脆弱性。"@ja .
a skos:Concept ;
skos:prefLabel "PidLidReminderFileParameter"@ja ;
skos:definition "Outlookのリマインダーが期限超過になったときに、クライアントが再生する音声のファイル名を保持する拡張MAPIプロパティ。"@ja ;
skos:altLabel "dispidReminderFileParam" .
a skos:Concept ;
skos:prefLabel "NTLM認証の誘発"@ja ;
skos:definition "利用者が接続を選択していなくても、端末から攻撃者が管理する接続先へのNTLM認証を起こさせ、チャレンジ／レスポンスを送らせる攻撃手法。送られる応答は平文パスワードやNTハッシュそのものではない。"@ja ;
skos:altLabel "NTLM authentication coercion" ;
ks:uses .
a skos:Concept ;
skos:prefLabel "Windows版Outlook"@ja ;
skos:definition "Windows向けのデスクトップ版Outlook。CVE-2023-23397では、細工されたメッセージのリマインダーを処理する未修正のクライアントが対象となった。"@ja ;
skos:altLabel "Microsoft Outlook for Windows" .
a skos:Concept ;
skos:prefLabel "UNCパス"@ja ;
skos:definition "\\\\サーバー名\\共有名\\...の形式で共有フォルダーの実体を指す、Windowsのユニバーサル命名規則によるパス表記。"@ja ;
skos:altLabel "Universal Naming Convention" ;
skos:altLabel "\\\\サーバー名\\共有名"@ja .
a skos:Concept ;
skos:prefLabel "SMB(TCP 445)"@ja ;
skos:definition "ファイル共有とリモート名前付きパイプが使うプロトコルとポート。"@ja ;
skos:altLabel "ファイル共有ポート"@ja .
a skos:Concept ;
skos:prefLabel "NTLM"@ja ;
skos:definition "パスワードの一方向ハッシュを使ったチャレンジ/レスポンス方式の認証プロトコル群(LANMAN・NTLMv1・NTLMv2を含む)。相互認証を持たず、サーバーが本物であると仮定できる環境向けに設計されている。"@ja ;
skos:altLabel "NTLM認証"@ja ;
skos:altLabel "Windows Challenge/Response" ;
skos:altLabel "NTLM Security Support Provider" .
a skos:Concept ;
skos:prefLabel "NTLMv2"@ja ;
skos:definition "NTLMプロトコル群の第2版。応答鍵をHMAC-MD5でNTハッシュから導出し、HMACで応答(NTProofStr)を計算する。非推奨だが現在も動作する。"@ja ;
skos:altLabel "NTLM バージョン2"@ja ;
skos:broader ;
ks:uses ;
ks:uses .
a skos:Concept ;
skos:prefLabel "ResponseKeyNT"@ja ;
skos:definition "NTLMv2の応答計算に使う鍵。NTハッシュと利用者名・ドメイン名からNTOWFv2で導出され、接続先のチャレンジなどに対する応答の計算に使われる。"@ja ;
skos:altLabel "NTLMv2応答鍵"@ja ;
ks:uses .
a skos:Concept ;
skos:prefLabel "NTハッシュ"@ja ;
skos:definition "MD4(UNICODE(パスワード))として計算される、パスワードの一方向ハッシュ。NTLM認証の資格情報の出発点で、NTLMv2の応答鍵もここから導出される。"@ja ;
skos:altLabel "NTOWF" ;
skos:altLabel "MD4ハッシュ"@ja .
a skos:Concept ;
skos:prefLabel "Net-NTLMv2応答"@ja ;
skos:definition "NTLMv2認証でクライアントがチャレンジに対して計算し、ネットワークへ返す応答。NTハッシュや平文パスワードそのものではなく、MicrosoftのCVE-2023-23397資料ではNet-NTLMv2 hashと呼ばれている。"@ja ;
skos:altLabel "Net-NTLMv2 hash" ;
skos:altLabel "NTLMv2のNTChallengeResponse"@ja ;
ks:uses ;
ks:uses .
a skos:Concept ;
skos:prefLabel "ServerChallenge"@ja ;
skos:definition "NTLM認証でサーバーが生成する8バイトのチャレンジ。NTLMv2のクライアントは、この値やクライアント側の情報を応答鍵と組み合わせて応答を計算する。"@ja ;
skos:altLabel "CHALLENGE_MESSAGE.ServerChallenge" ;
skos:altLabel "NTLMサーバーチャレンジ"@ja .
a skos:Concept ;
skos:prefLabel "NTLMリレー攻撃"@ja ;
skos:definition "攻撃者が被害者とサーバーの間でNTLMのチャレンジ/レスポンスをそのまま中継し、被害者になりすます攻撃。応答が宛先を縛らないNTLMの弱点を突く。"@ja ;
skos:altLabel "NTLM Relay Attack" ;
skos:altLabel "SMBリレー攻撃"@ja .
a skos:Concept ;
skos:prefLabel "NTLMv2応答のオフライン解析"@ja ;
skos:definition "保存したチャレンジと応答に対し、候補パスワードから計算した応答が一致するかを照合する攻撃。進行中の認証を中継するNTLMリレーとは異なり、パスワードの推測が成功するとは限らない。"@ja ;
skos:altLabel "NTLMv2 offline cracking" .
a skos:Concept ;
skos:prefLabel "SMB署名"@ja ;
skos:definition "SMBの全メッセージにセッション鍵由来の署名(メッセージ全体のハッシュと送信者・受信者の識別情報を含む)を付け、改ざんとリレー攻撃を検知する仕組み。Windows 11 24H2/Windows Server 2025で既定値が強化された。"@ja ;
skos:altLabel "SMB Signing" ;
ks:mitigates .
a skos:Concept ;
skos:prefLabel "Extended Protection for Authentication"@ja ;
skos:definition "認証を意図した接続先や通信チャネルに結び付け、対応サービスに対するNTLMリレーを防ぐための保護。適用できるサービスと設定条件を確認して有効にする。"@ja ;
skos:altLabel "EPA" .
a skos:Concept ;
skos:prefLabel "Protected Usersグループ"@ja ;
skos:definition "Active Directoryの利用者アカウントへ追加の資格情報保護を適用するグループ。対応環境ではメンバーのNTLM認証が制限されるため、既存アプリとの互換性やドメインの前提条件を確認して使う。"@ja .
a skos:Concept ;
skos:prefLabel "Kerberos"@ja ;
skos:definition "チケットによる一度だけの本人確認と相互認証を提供する認証プロトコル。Windows ServerはKerberos version 5と、公開鍵認証・認可データの転送・委任のための拡張を実装する。"@ja ;
skos:altLabel "Kerberos version 5" ;
skos:altLabel "Kerberos認証"@ja .
[] a rdf:Statement ;
rdf:subject ;
rdf:predicate ks:requires ;
rdf:object ;
schema:description "2023年に公表された影響対象は、細工されたメッセージを処理する未修正のWindows版Outlookである。Android、iOS、Mac版と、Windows版を併用しないWeb版の利用者は対象外。Outlook起動中に細工されたリマインダーが発火することが条件で、本文を開く操作やプレビュー表示は必要ない。根拠: 調査記事「Understanding the CVE-2023-23397 vulnerability」とMSRCのFAQ。"@ja ;
ks:evidence , ;
ks:verifiedAt "2026-10-27" ;
ks:certainty "context-dependent" .
[] a rdf:Statement ;
rdf:subject ;
rdf:predicate ks:uses ;
rdf:object ;
schema:description "PidLidReminderFileParameterは、期限超過になったリマインダーでクライアントが再生する音声のファイル名を保持する。攻撃者は細工したメッセージのPidLidReminderFileParameterに、管理下の共有を指す値を設定する。本文中の悪意あるリンクをクリックさせる手口ではない。根拠: MS-OXPROPSのプロパティ定義と調査記事「Understanding the CVE-2023-23397 vulnerability」。"@ja ;
ks:evidence , ;
ks:verifiedAt "2026-10-27" ;
ks:certainty "context-dependent" .
[] a rdf:Statement ;
rdf:subject ;
rdf:predicate ks:uses ;
rdf:object ;
schema:description "公表された攻撃経路では、リマインダー音の場所を攻撃者が管理する外部共有のUNCパスにする。UNCパス一般が悪意を持つという意味ではない。根拠: 調査記事「Understanding the CVE-2023-23397 vulnerability」。"@ja ;
ks:evidence ;
ks:verifiedAt "2026-10-27" ;
ks:certainty "context-dependent" .
[] a rdf:Statement ;
rdf:subject ;
rdf:predicate ks:uses ;
rdf:object ;
schema:description "未修正のOutlookが外部UNCパスのリマインダー音を読み込むと、SMBのTCP 445で接続する場合がある。これがCVE-2023-23397で外部へ応答を送る公表経路である。SMBに失敗してWebDAVへ切り替わっても、この手口では外部IPアドレスへNet-NTLMv2応答を送らない。根拠: 調査記事「Understanding the CVE-2023-23397 vulnerability」とWebDAV注記。"@ja ;
ks:evidence ;
ks:verifiedAt "2026-10-27" ;
ks:certainty "context-dependent" .
[] a rdf:Statement ;
rdf:subject ;
rdf:predicate ks:mayCause ;
rdf:object ;
schema:description "未修正のOutlookが細工されたリマインダーを処理し、端末が外部SMB共有へ通信してNTLM認証を試みると、利用者の操作なしに応答が送られ得る。使われる資格情報はWindows端末へログオン中の利用者のもので、受信したメールボックスの名義とは限らない。根拠: 調査記事「Understanding the CVE-2023-23397 vulnerability」。"@ja ;
ks:evidence ;
ks:verifiedAt "2026-10-27" ;
ks:certainty "context-dependent" .
[] a rdf:Statement ;
rdf:subject ;
rdf:predicate ks:uses ;
rdf:object ;
schema:description "認証の誘発は端末にNTLM認証を開始させる段階である。そこから別サービスへ認証を中継する段階がNTLMリレーであり、両者は同じ操作ではない。根拠: MSRC「Mitigating NTLM relay attacks by default」のBackground。"@ja ;
ks:evidence ;
ks:verifiedAt "2026-10-27" ;
ks:certainty "established" .
[] a rdf:Statement ;
rdf:subject ;
rdf:predicate ks:uses ;
rdf:object ;
schema:description "CVE-2023-23397の公表経路で外部へ送られるのはNTLMv2の認証応答である。NTLM認証の誘発がどの状況でも必ずNTLMv2を使うと主張するものではない。根拠: 調査記事「Understanding the CVE-2023-23397 vulnerability」。"@ja ;
ks:evidence ;
ks:verifiedAt "2026-10-27" ;
ks:certainty "context-dependent" .
[] a rdf:Statement ;
rdf:subject ;
rdf:predicate ks:uses ;
rdf:object ;
schema:description "NTLMv2ではNTOWFv2の計算結果をResponseKeyNTとして応答計算に使う。根拠: MS-NLMP 3.3.2「NTLM v2 Authentication」のResponseKeyNTとComputeResponseの疑似コード。"@ja ;
ks:evidence ;
ks:verifiedAt "2026-10-27" ;
ks:certainty "established" .
[] a rdf:Statement ;
rdf:subject ;
rdf:predicate ks:uses ;
rdf:object ;
schema:description "NTLMv2の応答鍵はNTハッシュに相当するMD4(UNICODE(Passwd))と、利用者名・ドメイン名から導出する。NTハッシュ自体をネットワークへ送るという関係ではない。根拠: MS-NLMP 3.3.2のNTOWFv2。"@ja ;
ks:evidence ;
ks:verifiedAt "2026-10-27" ;
ks:certainty "established" .
[] a rdf:Statement ;
rdf:subject ;
rdf:predicate ks:uses ;
rdf:object ;
schema:description "Net-NTLMv2応答の計算には応答鍵を使う。鍵から計算した応答とNTハッシュは別の値であり、漏れた応答をNTハッシュの代わりにPass-the-Hashへ直接使うことはできない。根拠: MS-NLMP 3.3.2のNTProofStr計算と調査記事のPass-the-Hashに関する説明。"@ja ;
ks:evidence , ;
ks:verifiedAt "2026-10-27" ;
ks:certainty "established" .
[] a rdf:Statement ;
rdf:subject ;
rdf:predicate ks:uses ;
rdf:object ;
schema:description "NTLMv2の応答は接続先からのServerChallengeとクライアント側の情報を合わせて計算する。接続先と無関係な固定のパスワードハッシュではない。根拠: MS-NLMP 3.3.2のComputeResponse。"@ja ;
ks:evidence ;
ks:verifiedAt "2026-10-27" ;
ks:certainty "established" .
[] a rdf:Statement ;
rdf:subject ;
rdf:predicate ks:uses ;
rdf:object ;
schema:description "クライアントはチャレンジに対する応答を返し、認証側は期待する応答と照合する。返される値は平文パスワードでもNTハッシュそのものでもない。根拠: MS-NLMP 3.3.2のNTChallengeResponse定義と末尾の検証手順。"@ja ;
ks:evidence ;
ks:verifiedAt "2026-10-27" ;
ks:certainty "established" .
[] a rdf:Statement ;
rdf:subject ;
rdf:predicate ks:mayCause ;
rdf:object ;
schema:description "誘発したNTLM認証を進行中に別サービスへ中継し、そのサービスがNTLMを受け付けて中継対策が不足していると、利用者として認証され得る。根拠: 調査記事の認証中継の説明とMSRC「Mitigating NTLM relay attacks by default」のBackground。"@ja ;
ks:evidence , ;
ks:verifiedAt "2026-10-27" ;
ks:certainty "context-dependent" .
[] a rdf:Statement ;
rdf:subject ;
rdf:predicate ks:uses ;
rdf:object ;
schema:description "今回のリレーでは、中継先のチャレンジに対して被害端末が計算した応答を、その認証が進行している間に中継先へ返す。保存済み応答の後日再利用ではない。根拠: MSRCのTechnical DetailsにあるNTLM negotiation messageの中継と、MS-NLMP 3.3.2の応答計算を対応させた説明。"@ja ;
ks:evidence , ;
ks:verifiedAt "2026-10-27" ;
ks:certainty "context-dependent" .
[] a rdf:Statement ;
rdf:subject ;
rdf:predicate ks:uses ;
rdf:object ;
schema:description "リレー中は中継先サービスからのチャレンジを被害端末へ渡し、同じ認証の応答を返させる。任意の過去の応答を選んで認証する仕組みではない。根拠: MSRCのTechnical Detailsにある認証中継と、MS-NLMP 3.3.2のチャレンジと応答の対応から説明したもの。"@ja ;
ks:evidence , ;
ks:verifiedAt "2026-10-27" ;
ks:certainty "context-dependent" .
[] a rdf:Statement ;
rdf:subject ;
rdf:predicate ks:mayCause ;
rdf:object ;
schema:description "攻撃者がNTLMv2のチャレンジと応答を取得すると、保存した値を使うパスワード推測につながり得る。応答の取得だけでパスワードが判明するわけではない。根拠: 調査記事「Understanding the CVE-2023-23397 vulnerability」のoffline crackingと、MS-NLMP 3.3.2の計算手順。"@ja ;
ks:evidence , ;
ks:verifiedAt "2026-10-27" ;
ks:certainty "context-dependent" .
[] a rdf:Statement ;
rdf:subject ;
rdf:predicate ks:uses ;
rdf:object ;
schema:description "オフライン解析では候補パスワードから計算した応答を取得済みの応答と照合する。推測が当たるかは候補と実際のパスワードなどに左右される。根拠: 調査記事のoffline crackingと、MS-NLMP 3.3.2のComputeResponseから導いた説明。"@ja ;
ks:evidence , ;
ks:verifiedAt "2026-10-27" ;
ks:certainty "context-dependent" .
[] a rdf:Statement ;
rdf:subject ;
rdf:predicate ks:uses ;
rdf:object ;
schema:description "候補から応答を計算するときは、取得した応答に対応するサーバーチャレンジなどの値を使う。リレーのように認証を続けながら中継する必要はない。根拠: 調査記事のoffline crackingと、MS-NLMP 3.3.2のComputeResponseから導いた説明。"@ja ;
ks:evidence , ;
ks:verifiedAt "2026-10-27" ;
ks:certainty "context-dependent" .
[] a rdf:Statement ;
rdf:subject ;
rdf:predicate ks:mitigates ;
rdf:object ;
schema:description "中継先がSMBサービスである場合、署名の要求はNTLMリレーへの保護になる。他のプロトコルへの中継や、応答送信・オフライン解析を一律に防ぐという意味ではない。根拠: SMB signing overview「Security considerations in SMB2 and SMB3」。"@ja ;
ks:evidence ;
ks:verifiedAt "2026-10-27" ;
ks:certainty "established" .
[] a rdf:Statement ;
rdf:subject ;
rdf:predicate ks:mitigates ;
rdf:object ;
schema:description "対応する中継先サービスでEPAを有効にすると、認証を意図した接続先や通信チャネルへ結び付け、NTLMリレーを防ぐための保護になる。根拠: MSRC「Mitigating NTLM relay attacks by default」のBackground。"@ja ;
ks:evidence ;
ks:verifiedAt "2026-10-27" ;
ks:certainty "context-dependent" .
[] a rdf:Statement ;
rdf:subject ;
rdf:predicate ks:mitigates ;
rdf:object ;
schema:description "対応環境のActive Directory利用者をProtected Usersへ追加すると、その利用者のNTLM利用を制限できる。NTLM依存アプリへの影響やドメインの前提条件を確認する必要があり、サービス・コンピューターアカウントへ適用するものではない。根拠: 調査記事「Recommendations」とProtected Users資料の保護・前提条件・運用の各節。"@ja ;
ks:evidence , , , ;
ks:verifiedAt "2026-10-27" ;
ks:certainty "context-dependent" .
[] a rdf:Statement ;
rdf:subject ;
rdf:predicate ks:mitigates ;
rdf:object ;
schema:description "NTLMを使う認証経路を洗い出し、対応する経路をKerberosへ移行すると、NTLMへの依存を減らせる。Kerberosを一部に導入しただけで、残るNTLM経路のリレーが防げるわけではない。根拠: MSRC「Mitigating NTLM relay attacks by default」のLooking ahead: The future of NTLMに基づく適用範囲の整理。"@ja ;
ks:evidence ;
ks:verifiedAt "2026-10-27" ;
ks:certainty "context-dependent" .