知識マップ: Outlookはなぜメールを開く前にNTLM応答を送ったのか？

記事「Outlookはなぜメールを開く前にNTLM応答を送ったのか？」の主張を、概念と関係(エッジ)に分解した知識グラフの全体です。各関係には根拠・確認日・確度が付いています。

未修正のWindows版Outlookでは、リマインダー音に指定された外部UNCパスへのSMB接続を通じて、NTLM認証が誘発される場合があった。送られるNet-NTLMv2応答はNTハッシュとは異なる値で、NTLMリレーやオフライン解析に悪用され得る。SMB署名とEPAは、対応する接続先へのリレーを防ぐための保護である。Outlook・Windowsの更新や侵害調査の手順は、記事本文の「5. 対策」で説明している。

flowchart LR
    accTitle: CVE-2023-23397とNTLM認証・リレー対策の関係
    accDescr: Windows版Outlook、リマインダー音のプロパティ、UNCパス、SMB、NTLMv2の認証値と攻撃手法、リレー対策の関係を示します。
    outlook_cve_2023_23397["CVE-2023-23397"]
    pidlid_reminder_file_parameter["PidLidReminderFileParameter"]
    ntlm_authentication_coercion["NTLM認証の誘発"]
    outlook_for_windows["Windows版Outlook"]
    unc_path["UNCパス"]
    smb_445["SMB(TCP 445)"]
    ntlm["NTLM"]
    ntlmv2["NTLMv2"]
    ntlmv2_response_key["ResponseKeyNT"]
    nt_hash["NTハッシュ"]
    net_ntlmv2_response["Net-NTLMv2応答"]
    ntlm_server_challenge["ServerChallenge"]
    ntlm_relay_attack["NTLMリレー攻撃"]
    ntlmv2_offline_password_guessing["NTLMv2応答のオフライン解析"]
    smb_signing["SMB署名"]
    extended_protection_for_authentication["Extended Protection for Authentication"]
    protected_users_group["Protected Usersグループ"]
    kerberos["Kerberos"]
    outlook_cve_2023_23397 -.->|"前提とする"| outlook_for_windows
    outlook_cve_2023_23397 -.->|"利用する"| pidlid_reminder_file_parameter
    outlook_cve_2023_23397 -.->|"利用する"| unc_path
    outlook_cve_2023_23397 -.->|"利用する"| smb_445
    outlook_cve_2023_23397 -.->|"原因になり得る"| ntlm_authentication_coercion
    ntlm_authentication_coercion -->|"利用する"| ntlm
    outlook_cve_2023_23397 -.->|"利用する"| ntlmv2
    ntlmv2 -->|"利用する"| ntlmv2_response_key
    ntlmv2_response_key -->|"利用する"| nt_hash
    net_ntlmv2_response -->|"利用する"| ntlmv2_response_key
    net_ntlmv2_response -->|"利用する"| ntlm_server_challenge
    ntlmv2 -->|"利用する"| net_ntlmv2_response
    ntlm_authentication_coercion -.->|"原因になり得る"| ntlm_relay_attack
    ntlm_relay_attack -.->|"利用する"| net_ntlmv2_response
    ntlm_relay_attack -.->|"利用する"| ntlm_server_challenge
    ntlm_authentication_coercion -.->|"原因になり得る"| ntlmv2_offline_password_guessing
    ntlmv2_offline_password_guessing -.->|"利用する"| net_ntlmv2_response
    ntlmv2_offline_password_guessing -.->|"利用する"| ntlm_server_challenge
    smb_signing -->|"軽減する"| ntlm_relay_attack
    extended_protection_for_authentication -.->|"軽減する"| ntlm_relay_attack
    protected_users_group -.->|"軽減する"| ntlm_authentication_coercion
    kerberos -.->|"軽減する"| ntlm_relay_attack

概念間の関係(全22件)

図と同じ関係を文章でも列挙します。表示している文と機械可読な意味データ(RDFa)は同じ要素に載っています。確度が「確立した関係」のものは直接の関係として、「条件付きの関係」のものは成立条件つきの言明(rdf:Statement)として表現しています。

• CVE-2023-23397はWindows版Outlookを前提とします。2023年に公表された影響対象は、細工されたメッセージを処理する未修正のWindows版Outlookである。Android、iOS、Mac版と、Windows版を併用しないWeb版の利用者は対象外。Outlook起動中に細工されたリマインダーが発火することが条件で、本文を開く操作やプレビュー表示は必要ない。根拠: 調査記事「Understanding the CVE-2023-23397 vulnerability」とMSRCのFAQ。 / 確度: 条件付きの関係 / 確認日: 2026-10-27 出典 出典
• CVE-2023-23397はPidLidReminderFileParameterを利用します。PidLidReminderFileParameterは、期限超過になったリマインダーでクライアントが再生する音声のファイル名を保持する。攻撃者は細工したメッセージのPidLidReminderFileParameterに、管理下の共有を指す値を設定する。本文中の悪意あるリンクをクリックさせる手口ではない。根拠: MS-OXPROPSのプロパティ定義と調査記事「Understanding the CVE-2023-23397 vulnerability」。 / 確度: 条件付きの関係 / 確認日: 2026-10-27 出典 出典
• CVE-2023-23397はUNCパスを利用します。公表された攻撃経路では、リマインダー音の場所を攻撃者が管理する外部共有のUNCパスにする。UNCパス一般が悪意を持つという意味ではない。根拠: 調査記事「Understanding the CVE-2023-23397 vulnerability」。 / 確度: 条件付きの関係 / 確認日: 2026-10-27 出典
• CVE-2023-23397はSMB(TCP 445)を利用します。未修正のOutlookが外部UNCパスのリマインダー音を読み込むと、SMBのTCP 445で接続する場合がある。これがCVE-2023-23397で外部へ応答を送る公表経路である。SMBに失敗してWebDAVへ切り替わっても、この手口では外部IPアドレスへNet-NTLMv2応答を送らない。根拠: 調査記事「Understanding the CVE-2023-23397 vulnerability」とWebDAV注記。 / 確度: 条件付きの関係 / 確認日: 2026-10-27 出典
• CVE-2023-23397はNTLM認証の誘発の原因になることがあります。未修正のOutlookが細工されたリマインダーを処理し、端末が外部SMB共有へ通信してNTLM認証を試みると、利用者の操作なしに応答が送られ得る。使われる資格情報はWindows端末へログオン中の利用者のもので、受信したメールボックスの名義とは限らない。根拠: 調査記事「Understanding the CVE-2023-23397 vulnerability」。 / 確度: 条件付きの関係 / 確認日: 2026-10-27 出典
• NTLM認証の誘発はNTLMを利用します。認証の誘発は端末にNTLM認証を開始させる段階である。そこから別サービスへ認証を中継する段階がNTLMリレーであり、両者は同じ操作ではない。根拠: MSRC「Mitigating NTLM relay attacks by default」のBackground。 / 確度: 確立した関係 / 確認日: 2026-10-27 出典
• CVE-2023-23397はNTLMv2を利用します。CVE-2023-23397の公表経路で外部へ送られるのはNTLMv2の認証応答である。NTLM認証の誘発がどの状況でも必ずNTLMv2を使うと主張するものではない。根拠: 調査記事「Understanding the CVE-2023-23397 vulnerability」。 / 確度: 条件付きの関係 / 確認日: 2026-10-27 出典
• NTLMv2はResponseKeyNTを利用します。NTLMv2ではNTOWFv2の計算結果をResponseKeyNTとして応答計算に使う。根拠: MS-NLMP 3.3.2「NTLM v2 Authentication」のResponseKeyNTとComputeResponseの疑似コード。 / 確度: 確立した関係 / 確認日: 2026-10-27 出典
• ResponseKeyNTはNTハッシュを利用します。NTLMv2の応答鍵はNTハッシュに相当するMD4(UNICODE(Passwd))と、利用者名・ドメイン名から導出する。NTハッシュ自体をネットワークへ送るという関係ではない。根拠: MS-NLMP 3.3.2のNTOWFv2。 / 確度: 確立した関係 / 確認日: 2026-10-27 出典
• Net-NTLMv2応答はResponseKeyNTを利用します。Net-NTLMv2応答の計算には応答鍵を使う。鍵から計算した応答とNTハッシュは別の値であり、漏れた応答をNTハッシュの代わりにPass-the-Hashへ直接使うことはできない。根拠: MS-NLMP 3.3.2のNTProofStr計算と調査記事のPass-the-Hashに関する説明。 / 確度: 確立した関係 / 確認日: 2026-10-27 出典 出典
• Net-NTLMv2応答はServerChallengeを利用します。NTLMv2の応答は接続先からのServerChallengeとクライアント側の情報を合わせて計算する。接続先と無関係な固定のパスワードハッシュではない。根拠: MS-NLMP 3.3.2のComputeResponse。 / 確度: 確立した関係 / 確認日: 2026-10-27 出典
• NTLMv2はNet-NTLMv2応答を利用します。クライアントはチャレンジに対する応答を返し、認証側は期待する応答と照合する。返される値は平文パスワードでもNTハッシュそのものでもない。根拠: MS-NLMP 3.3.2のNTChallengeResponse定義と末尾の検証手順。 / 確度: 確立した関係 / 確認日: 2026-10-27 出典
• NTLM認証の誘発はNTLMリレー攻撃の原因になることがあります。誘発したNTLM認証を進行中に別サービスへ中継し、そのサービスがNTLMを受け付けて中継対策が不足していると、利用者として認証され得る。根拠: 調査記事の認証中継の説明とMSRC「Mitigating NTLM relay attacks by default」のBackground。 / 確度: 条件付きの関係 / 確認日: 2026-10-27 出典 出典
• NTLMリレー攻撃はNet-NTLMv2応答を利用します。今回のリレーでは、中継先のチャレンジに対して被害端末が計算した応答を、その認証が進行している間に中継先へ返す。保存済み応答の後日再利用ではない。根拠: MSRCのTechnical DetailsにあるNTLM negotiation messageの中継と、MS-NLMP 3.3.2の応答計算を対応させた説明。 / 確度: 条件付きの関係 / 確認日: 2026-10-27 出典 出典
• NTLMリレー攻撃はServerChallengeを利用します。リレー中は中継先サービスからのチャレンジを被害端末へ渡し、同じ認証の応答を返させる。任意の過去の応答を選んで認証する仕組みではない。根拠: MSRCのTechnical Detailsにある認証中継と、MS-NLMP 3.3.2のチャレンジと応答の対応から説明したもの。 / 確度: 条件付きの関係 / 確認日: 2026-10-27 出典 出典
• NTLM認証の誘発はNTLMv2応答のオフライン解析の原因になることがあります。攻撃者がNTLMv2のチャレンジと応答を取得すると、保存した値を使うパスワード推測につながり得る。応答の取得だけでパスワードが判明するわけではない。根拠: 調査記事「Understanding the CVE-2023-23397 vulnerability」のoffline crackingと、MS-NLMP 3.3.2の計算手順。 / 確度: 条件付きの関係 / 確認日: 2026-10-27 出典 出典
• NTLMv2応答のオフライン解析はNet-NTLMv2応答を利用します。オフライン解析では候補パスワードから計算した応答を取得済みの応答と照合する。推測が当たるかは候補と実際のパスワードなどに左右される。根拠: 調査記事のoffline crackingと、MS-NLMP 3.3.2のComputeResponseから導いた説明。 / 確度: 条件付きの関係 / 確認日: 2026-10-27 出典 出典
• NTLMv2応答のオフライン解析はServerChallengeを利用します。候補から応答を計算するときは、取得した応答に対応するサーバーチャレンジなどの値を使う。リレーのように認証を続けながら中継する必要はない。根拠: 調査記事のoffline crackingと、MS-NLMP 3.3.2のComputeResponseから導いた説明。 / 確度: 条件付きの関係 / 確認日: 2026-10-27 出典 出典
• SMB署名はNTLMリレー攻撃を軽減します。中継先がSMBサービスである場合、署名の要求はNTLMリレーへの保護になる。他のプロトコルへの中継や、応答送信・オフライン解析を一律に防ぐという意味ではない。根拠: SMB signing overview「Security considerations in SMB2 and SMB3」。 / 確度: 確立した関係 / 確認日: 2026-10-27 出典
• Extended Protection for AuthenticationはNTLMリレー攻撃を軽減します。対応する中継先サービスでEPAを有効にすると、認証を意図した接続先や通信チャネルへ結び付け、NTLMリレーを防ぐための保護になる。根拠: MSRC「Mitigating NTLM relay attacks by default」のBackground。 / 確度: 条件付きの関係 / 確認日: 2026-10-27 出典
• Protected UsersグループはNTLM認証の誘発を軽減します。対応環境のActive Directory利用者をProtected Usersへ追加すると、その利用者のNTLM利用を制限できる。NTLM依存アプリへの影響やドメインの前提条件を確認する必要があり、サービス・コンピューターアカウントへ適用するものではない。根拠: 調査記事「Recommendations」とProtected Users資料の保護・前提条件・運用の各節。 / 確度: 条件付きの関係 / 確認日: 2026-10-27 出典 出典 出典 出典
• KerberosはNTLMリレー攻撃を軽減します。NTLMを使う認証経路を洗い出し、対応する経路をKerberosへ移行すると、NTLMへの依存を減らせる。Kerberosを一部に導入しただけで、残るNTLM経路のリレーが防げるわけではない。根拠: MSRC「Mitigating NTLM relay attacks by default」のLooking ahead: The future of NTLMに基づく適用範囲の整理。 / 確度: 条件付きの関係 / 確認日: 2026-10-27 出典

主要概念の定義

CVE-2023-23397

細工されたメッセージを未修正のWindows版Outlookが処理すると、利用者がメッセージを開かなくても外部SMB接続とNet-NTLMv2応答の送信を誘発し得る、2023年に修正された脆弱性。

PidLidReminderFileParameter

Outlookのリマインダーが期限超過になったときに、クライアントが再生する音声のファイル名を保持する拡張MAPIプロパティ。

NTLM認証の誘発

利用者が接続を選択していなくても、端末から攻撃者が管理する接続先へのNTLM認証を起こさせ、チャレンジ／レスポンスを送らせる攻撃手法。送られる応答は平文パスワードやNTハッシュそのものではない。

NTLMv2

NTLMプロトコル群の第2版。応答鍵をHMAC-MD5でNTハッシュから導出し、HMACで応答(NTProofStr)を計算する。非推奨だが現在も動作する。

ResponseKeyNT

NTLMv2の応答計算に使う鍵。NTハッシュと利用者名・ドメイン名からNTOWFv2で導出され、接続先のチャレンジなどに対する応答の計算に使われる。

Net-NTLMv2応答

NTLMv2認証でクライアントがチャレンジに対して計算し、ネットワークへ返す応答。NTハッシュや平文パスワードそのものではなく、MicrosoftのCVE-2023-23397資料ではNet-NTLMv2 hashと呼ばれている。

NTLMリレー攻撃

攻撃者が被害者とサーバーの間でNTLMのチャレンジ/レスポンスをそのまま中継し、被害者になりすます攻撃。応答が宛先を縛らないNTLMの弱点を突く。

NTLMv2応答のオフライン解析

保存したチャレンジと応答に対し、候補パスワードから計算した応答が一致するかを照合する攻撃。進行中の認証を中継するNTLMリレーとは異なり、パスワードの推測が成功するとは限らない。

SMB署名

SMBの全メッセージにセッション鍵由来の署名(メッセージ全体のハッシュと送信者・受信者の識別情報を含む)を付け、改ざんとリレー攻撃を検知する仕組み。Windows 11 24H2/Windows Server 2025で既定値が強化された。

Extended Protection for Authentication

認証を意図した接続先や通信チャネルに結び付け、対応サービスに対するNTLMリレーを防ぐための保護。適用できるサービスと設定条件を確認して有効にする。

Protected Usersグループ

Active Directoryの利用者アカウントへ追加の資格情報保護を適用するグループ。対応環境ではメンバーのNTLM認証が制限されるため、既存アプリとの互換性やドメインの前提条件を確認して使う。

Kerberos

チケットによる一度だけの本人確認と相互認証を提供する認証プロトコル。Windows ServerはKerberos version 5と、公開鍵認証・認可データの転送・委任のための拡張を実装する。

機械可読データ

• JSON-LD / Turtle ── この記事の知識グラフ全体
• 概念一覧 / 語彙(述語)の定義

このデータセットについて

作成

合同会社小村ソフト

ライセンス

CC BY 4.0 ── 出典(合同会社小村ソフト)とライセンスへのリンクを明示し、改変した場合はその旨を示すことを条件に、再配布・改変を含めて再利用できます

最終確認日

2026-10-27 ── 収録する関係のうち、最後に出典と照合した日

このページはサイトの知識グラフ(_data/knowledge/)から自動生成されています。誤りの指摘はお問い合わせからお願いします。