合同会社小村ソフト
相談する
メニュー

PetitPotamはなぜドメインコントローラーの認証をAD CSへ中継できたのか？

· · Windows, 情報セキュリティ, Active Directory, AD CS, NTLM, CVE

Xでポスト はてなブックマーク
更新履歴(初版のみ・2026年10月31日公開)
初版公開

Active Directory証明書サービス（AD CS）には、ブラウザーやWindowsの組み込みクライアントから、Webで証明書を申請するための役割サービスがあります。PetitPotamは、この役割サービスがNTLM認証の中継を受け付ける状態を突いた攻撃でした。123

攻撃者はまず、ドメインコントローラーに攻撃者側のサーバーへNTLMで認証させます。そしてその認証を、AD CSのWeb登録へそのまま中継します。CVE-2021-36942はこの前半の認証を誘発する脆弱性で、Microsoftは後半のAD CSへの中継と組み合わせた場合の深刻度を、CVSS基本値9.8と示しています。45

1. 概要

CVE-2021-36942は2021年8月10日に公開されたWindows Serverの脆弱性です。認証を受けていない攻撃者がLSARPCインターフェイスのメソッドを呼び出すと、ドメインコントローラーに別のサーバーへNTLMで認証させることができました。64 Microsoftはこれに先立つ2021年7月23日、PetitPotamへの対応としてアドバイザリADV210003とKB5005413を公開しています。7

項目 内容
CVE CVE-2021-369426
Microsoftの名称 Windows LSA Spoofing Vulnerability6
通称 PetitPotam8
公開日 2021年8月10日（ADV210003は2021年7月23日）67
対象機能 LSARPC経由で呼び出せるEFSRPCのメソッド49
問題の性質 認証なしの呼び出しによるNTLM認証の誘発4
深刻度 Important。CVSS 3.1基本値7.5、AD CSへのNTLMリレーと組み合わせると9.8（Microsoftの評価）65
主な影響 ドメインコントローラーの認証を中継され、AD CSで認証されること85
悪用実績 あり。CISAが2021年11月3日に既知悪用脆弱性カタログへ追加10

Microsoftの公開時の記録では、悪用は「なし」とされていました。その後CISAが既知悪用脆弱性カタログに加え、Microsoftも2024年12月の記事で、AD CSへの中継に悪用されたことを確認しています。61011

PetitPotamを構成する二つの段階CVE-2021-36942でドメインコントローラーにNTLM認証を送らせる段階と、その認証をAD CSのWeb登録へ中継する段階を示します。ないEPAなどがあるLSARPC経由でEFSRPCのメソッドを呼ぶドメインコントローラーがNTLM認証を送る攻撃者がAD CSのWeb登録へ中継AD CSに中継への保護があるかドメインコントローラーとして認証される中継した認証は受け付けられない

図1: CVE-2021-36942は前半の誘発に当たり、被害の大きさは後半のAD CSの保護で決まります。48

図の実線は常に成り立つ関係、破線は条件付きの関係です(成立条件は詳細ページの各関係の説明に記載)。関係すべての一覧(全19件、根拠・確度つき)と主要概念の定義は知識マップ詳細ページにまとめています。データ: JSON-LD / Turtle

2. 対象

CVE-2021-36942の更新対象は、公開当時サポート中だったWindows Serverです。Windows Server 2008 SP2から2019まで、バージョン2004と20H2が含まれ、クライアント向けのWindowsは対象に挙がっていません。Microsoftはすべてのサーバーが影響を受けるとしたうえで、ドメインコントローラーを優先して更新するよう案内しています。1213

AD CSへの中継については、KB5005413が影響を受けうる構成を示しています。AD CSで次の役割サービスのどちらかを使っている場合です。1

  • 証明機関Web登録（Certificate Authority Web Enrollment）
  • 証明書の登録Webサービス（Certificate Enrollment Web Service）

攻撃が成り立つには、ドメインでNTLM認証が使え、かつWeb登録の役割サービスにNTLMリレーへの保護がないことも必要です。KB5005413は、NTLMが有効なネットワークでNTLMリレーを防ぐには、NTLM認証を受け付けるサービスでEPAやSMB署名などの保護を使う必要があると説明しています。8

AD CSへの中継が成り立つ条件ドメインでNTLMが使え、AD CSのWeb登録の役割サービスがあり、そこにNTLMリレーへの保護がない場合に中継が成り立ちます。使えない使えるないWeb登録か登録WebサービスあるないドメインでNTLM認証が使えるか中継する認証がないWeb登録の役割サービスがあるかKB5005413の対象外EPAなどの保護があるか中継した認証を拒否中継した認証を受け付ける

図2: AD CSのWeb登録の役割サービスが、保護のないままNTLMを受け付けるかで結果が変わります。18

3. 詳細

LSARPCで受け付けていたEFSRPC

暗号化ファイルシステムのリモート操作には、MS-EFSR（Encrypting File System Remote Protocol）というRPCのプロトコルが使われます。仕様では、EFSRPCのメッセージは名前付きパイプ\pipe\efsrpcへ送るべき（SHOULD）とされ、サーバーは\pipe\lsarpcへ送られたメッセージに応答してもよい（MAY）とされています。どちらもSMBの上の名前付きパイプです。9

このインターフェイスには、たとえばEfsRpcOpenFileRawがあります。仕様での役割はサーバー上の暗号化されたオブジェクトをバックアップや復元のために開くことです。14 CVE-2021-36942の更新は、LSARPCインターフェイス経由のOpenEncryptedFileRawAとOpenEncryptedFileRawWの呼び出しを止めるものでした。4

MS-EFSRの二つのエンドポイントEFSRPCのメッセージは名前付きパイプefsrpcへ送るのが基本で、サーバーはlsarpcへのメッセージにも応答してよいことを示します。EFSRPCのメッセージSMBの名前付きパイプ\pipe\efsrpc（送るべき）\pipe\lsarpc（応答してよい）2021年8月の更新で特定のAPI呼び出しを停止

図3: CVE-2021-36942の更新が止めたのは、LSARPC経由の特定のAPI呼び出しでした。94

認証を受けずに認証を誘発できた

MSRCの説明では、認証を受けていない攻撃者がLSARPCインターフェイスのメソッドを呼び出し、ドメインコントローラーにNTLMで別のサーバーへ認証させることができました。4 攻撃者が用意したサーバーへ、ドメインコントローラーが自分からNTLM認証を始めるという形です。

この段階で攻撃者が得るのは、ドメインコントローラーが送ってくる進行中のNTLM認証です。CVE-2021-36942単独の評価はCVSS基本値7.5（機密性への影響が高）です。被害の大きさはこの認証をどこへ中継できるかで変わります。65

認証を受けない呼び出しからNTLM認証が始まる流れ攻撃者がLSARPC経由でメソッドを呼び出し、ドメインコントローラーが別のサーバーへNTLM認証を始めるまでを示します。攻撃者がLSARPCのメソッドを呼ぶドメインコントローラーが別のサーバーへ接続ドメインコントローラーとしてNTLM認証攻撃者が進行中の認証を受け取る

図4: 呼び出しに認証は要らず、ドメインコントローラーが自分から認証を始めました。4

AD CSのWeb登録へ中継する

KB5005413はPetitPotamを「古典的なNTLMリレー攻撃」と呼んでいます。NTLMリレーでは、攻撃者は受け取った認証を別のサービスへ中継し、そのサービスからのチャレンジを被害側へ渡して、被害側が計算した応答をサービスへ返します。815

中継先として狙われたのが、AD CSのWeb登録の二つの役割サービスです。証明書の登録WebサービスはHTTPSで証明書の要求を受け付け、要求者に代わって証明機関（CA）に証明書の登録を行います。統合Windows認証では、KerberosまたはNTLMで要求者を認証します。2 証明機関Web登録もIIS上のWebサイトで証明書の要求を受け付けます。3

中継したNTLM認証がそのまま受け付けられると、AD CSは要求者をドメインコントローラーとして扱います。Microsoft Defender for Identityには、この状況に当たる「ドメインコントローラーの証明書の不審な要求（ESC8）」というアラートがあります。16 MicrosoftはNTLMリレーの成功を、ドメインをさらに侵害するための足がかりになると説明しています。17

ドメインコントローラーの認証をAD CSへ中継する流れ攻撃者がドメインコントローラーからの認証をAD CSのWeb登録へ中継し、AD CSがドメインコントローラーとして要求を扱うまでを示します。ドメインコントローラーのNTLM認証攻撃者が中継AD CSのWeb登録チャレンジを中継して応答を返すAD CSが要求者をドメインコントローラーとして扱うドメインコントローラー名義の証明書要求

図5: AD CSのWeb登録がNTLMを受け付けると、中継された認証でドメインコントローラー名義の要求が通り得ました。8216

EPAが中継を止める仕組み

EPA（Extended Protection for Authentication）は、Windows認証に認証の中継や中間者攻撃を防ぐ情報を加える仕組みです。IISのEPAは主にSSL/TLS接続で使うチャネルバインディングトークン（CBT）と、サービスプリンシパル名（SPN）による結び付けを使います。18 Microsoftのアドバイザリ973811によると、EPAを使う認証の要求は、接続先のSPNと外側のTLSの通信路の両方に結び付けられます。19

AD CSが受け取る中継された認証は、ドメインコントローラーが攻撃者とのあいだで始めたものです。そこには、攻撃者とAD CSのあいだのTLS通信路に結び付いた情報が含まれません。そのため、EPAを必須にしたAD CSは、通信路と結び付いていない認証を拒否できます。ただしIISでチェックを必須（Require）にすると、EPAに対応しないクライアントは認証できなくなります。18 また、EPAはNTLMv2、Kerberos、ダイジェスト、ネゴシエートの各認証に適用され、NTLMv1には適用されません。20

EPAが中継した認証を拒否する理由正規の接続では認証がTLS通信路に結び付き、中継された認証は結び付いていないため、EPAを必須にしたサーバーが拒否できることを示します。結び付いている結び付いていない必須無効認証がAD CSとのTLS通信路に結び付いているか正規の接続として受け付ける中継された認証EPAを必須にしているか認証を拒否受け付けてしまう

図6: EPAは認証を、その認証が通ってきたTLS通信路に結び付けます。1819

4. 影響

CVE-2021-36942単独で起きるのは、ドメインコントローラーの認証を攻撃者側へ送らせることです。Microsoftはこの評価をCVSS基本値7.5としつつ、AD CSへのNTLMリレーと組み合わせた場合の評価を9.8としています。65

組み合わせで問題になるのは、中継先で被害者として認証されることです。MicrosoftはNTLMリレーについて、保護のないエンドポイントへ資格情報を中継した攻撃者が被害者として認証して操作でき、それがドメインをさらに侵害する足がかりになると説明しています。17 PetitPotamでの被害者はドメインコントローラーです。

実際の悪用も確認されています。CISAは2021年11月3日にCVE-2021-36942を既知悪用脆弱性カタログへ追加し、ランサムウェアの攻撃での利用を「既知」としています。10 Microsoftも、NTLMリレーへの保護がないサービスを狙う攻撃者の例として、LSARPCで誘発した認証をAD CSへ中継したCVE-2021-36942を挙げています。11

2022年5月には、同じくLSARPCを通じてドメインコントローラーにNTLM認証を誘発するCVE-2022-26925が公開されました。この更新はLSARPCへの匿名の接続の試みを検出して拒否するもので、こちらも公開時点で悪用が確認されていました。Microsoftはこの脆弱性でも、同じADV210003とKB5005413を参照先にしています。21

誘発の脆弱性とAD CSの保護不足が重なったときの影響CVE-2021-36942単独ではCVSS 7.5、AD CSへのNTLMリレーと組み合わせると9.8となり、ドメインをさらに侵害する足がかりになることを示します。ないあるCVE-2021-36942による誘発単独ではCVSS 7.5中継先のAD CSに保護があるか組み合わせでCVSS 9.8ドメインコントローラーとして認証されるドメインをさらに侵害する足がかり中継は失敗する

図7: 深刻度を大きく変えるのは、中継先にNTLMリレーへの保護があるかです。6517

5. 対策

Windows Serverを更新する

まず、CVE-2021-36942とCVE-2022-26925を含む、サポート中のWindows Serverの最新の更新を適用します。Microsoftはドメインコントローラーを優先するよう案内しています。1321 2021年8月の更新を入れたWindows Server 2008 SP2では、OpenEncryptedFileRawが動かなくなります。22

ただし、更新だけでは足りません。MSRCのFAQは、更新のあとに追加の対応が必要かという問いに「はい」と答え、KB5005413を参照しています。5 更新が止めたのはLSARPC経由の特定の呼び出しと匿名の接続で、AD CSがNTLMの中継を受け付ける状態は残るからです。4218

AD CSでEPAを必須にし、HTTPを止める

KB5005413の主な対策はAD CSのサーバーでEPAを有効にし、HTTPを止めることです。手順は次のとおりです。23

  1. IISマネージャーで、証明機関Web登録のEPAを有効にします。設定値はより安全で推奨されるRequiredにします。
  2. 同じく、証明書の登録Webサービスでも、EPAをRequiredにします。
  3. 証明書の登録Webサービスでは%windir%\systemdata\CES\<CA名>_CES_Kerberos\web.configにも<extendedProtectionPolicy>を加えます。IISでRequiredにした場合の値はAlwaysです。
  4. Require SSLを有効にして、HTTPSの接続だけを受け付けるようにします。
  5. 管理者のコマンドプロンプトでiisreset /restartを実行し、変更を読み込ませます。このコマンドは動いているIISのサービスをすべて止めてから起動し直します。

EPAを必須にすると、EPAに対応しないクライアントはAD CSのWeb登録で認証できなくなります。18 業務で証明書を申請しているクライアントを先に確かめ、作業の時間帯を決めてから変更してください。

Windows Server 2025では、AD CSのEPAが既定で有効になっています。ただし既定値はチャネルバインディングを提示しないクライアントも受け入れる「Enabled - When Supported」です。Microsoftは、古いクライアントへの対応が要らない環境では「Enabled – Always」を勧めています。Windows Server 2022と2019では、管理者が手動でEPAを有効にします。24

AD CSのWeb登録を保護する手順証明機関Web登録と証明書の登録WebサービスでEPAを必須にし、web.configを更新し、SSLを必須にしてIISを再起動する順序を示します。Web登録のEPAを必須に登録WebサービスのEPAを必須にweb.configにAlwaysを設定SSLを必須にしてHTTPを止めるIISを再起動証明書の申請を試して確かめる

図8: KB5005413の主な対策はEPAを必須にし、HTTPSだけを受け付けることです。23

NTLMを減らす

KB5005413は主な対策に加えて、できるところでNTLM認証を無効にするよう勧めています。安全な順に、次の三つが挙げられています。25

  1. ドメインコントローラーで、Network security: Restrict NTLM: NTLM authentication in this domainのポリシーにより、ドメインのNTLM認証を無効にする。
  2. AD CSのサーバーで、Network security: Restrict NTLM: Incoming NTLM trafficをDeny All AccountsかDeny All domain accountsにする。必要な例外はAdd server exceptions in this domainで加える。
  3. 証明機関Web登録と証明書の登録Webサービスを動かすIISで、Windows認証をNegotiate:Kerberosにする。

どれもNTLMを使う業務の通信を止めるおそれがあるので、いきなり拒否にはしません。先に監査で、どのクライアントやサービスがNTLMを使っているかを確かめます。手順はNTLM廃止の記事で説明しています。

Microsoftは2026年1月、次の大型リリースのWindows Serverでネットワーク越しのNTLMを既定で無効にする計画を示しました。NTLMはOSに残り、ポリシーで明示的に有効にし直せるとされ、時期は変わる可能性があります。26

NTLMを減らす三つの方法と安全さの順ドメインコントローラーでのNTLM無効化、AD CSサーバーでの受信NTLMの拒否、IISでのKerberosのみの認証を、安全な順に並べます。監査でNTLMの利用元を確かめる1. ドメインでNTLM認証を無効化2. AD CSで受信NTLMを拒否3. IISをNegotiate:Kerberosに

図9: KB5005413はドメイン全体からIISだけまで、安全な順に三つの方法を挙げています。25

NTLMとAD CSの記録を確かめる

ドメインでのNTLMの利用はNetwork security: Restrict NTLM: Audit NTLM authentication in this domainを有効にすると、ドメインコントローラーのイベント8004として記録されます。記録先はApplications and Services Log\Microsoft\Windows\NTLMの運用ログで、監査のポリシー自体は通信を止めません。27

Windows 11 24H2とWindows Server 2025では、NTLMの監査を強化したイベントが同じ運用ログに既定で記録されます。クライアントは4020と4021、サーバーは4022と4023、ドメインコントローラーは4030から4033です。記録にはチャネルバインディングに対応しているかの欄があり、EPAに対応しないか安全でない場合は警告になります。Windows Server 2022と2019でも、2026年10月13日以降の更新を入れると使えます。28

AD CSでは、証明書サービスの監査を有効にすると、証明書の要求を受け取ったときにイベント4886、承認して発行したときに4887が記録されます。29 Microsoft Defender for Identityには、ドメインコントローラーに対するEFS-RPCの悪用を検出するアラート（外部ID 2416）と、AD CSのセンサーで検出するESC8のアラートがあります。3016

PetitPotamに関わる記録の置き場所ドメインコントローラーのNTLM監査、強化されたNTLMのイベント、AD CSの証明書要求の監査、Defender for Identityのアラートを示します。ドメインコントローラーNTLM運用ログのイベント8004各Windows強化NTLMイベント4020〜4033AD CS証明書の要求4886と発行4887Defender for IdentityEFS-RPCの悪用2416とESC8

図10: NTLMの利用元、チャネルバインディングの対応、証明書の要求を、それぞれの記録で確かめます。27282930

6. 教訓

ここからは、公開された経緯と対策から導いた設計・運用上の考察です。

PetitPotamでは、認証を誘発する呼び出しが二つのCVEの更新で順に止められました。2021年の更新が特定のAPI呼び出しを止め、2022年の更新はLSARPCへの匿名の接続を拒否しました。421 それでもMicrosoftは、どちらの更新でもKB5005413の対応を求めています。521 このことから、誘発の手段を止める更新とは別に、中継先のサービスがNTLMの中継を受け付けない状態にしておく必要があると読み取れます。誘発の手段を一つ止めても、中継先が保護のないNTLMを受け付けるなら、別の手段から同じ被害につながりうるからです。

NTLMを受け付けるサービスを作るときや運用するときは、そのサービスが中継された認証を見分けられるかを確かめる必要があります。KB5005413が求めるのも、NTLMを受け付けるサービスでEPAや署名のような保護を使うことでした。8 社内でIISのWindows認証を使う業務システムを持っている場合も、同じ問いを当てはめられます。

Windows Server 2025の既定値でも、AD CSのEPAは「When Supported」にとどまります。既定のままで十分かは、クライアントの対応状況を確かめたうえで判断する必要があります。24

この記事は公開された一次資料に基づいて仕組みと対策を説明したものです。認証の誘発や中継、証明書の取得を再現する作業は行っていません。

関連記事

参考リンク

本文・表・図の脚注とFAQの出典リンクから、根拠となる資料の節や項目へたどれます。仕様から組み立てた説明と設計上の考察は、その旨を脚注にも記しています。確認日は2026年10月31日です。2021年の公開当時の案内と、確認日時点の既定値や計画は分けて記載しています。

  1. Microsoft Support, KB5005413. 参照箇所: Summaryの検索語You are potentially vulnerable to this attack ifと、続くCertificate Authority Web Enrollment、Certificate Enrollment Web Service。 ↩ ↩2 ↩3

  2. Microsoft Learn, Certificate Enrollment Web Service overview. 参照箇所: 冒頭のuses the HTTPS protocol to accept certificate requestsとcomplete certificate enrollment on behalf of the requester、Authentication typesのWindows integrated authentication（KerberosまたはNTLM）。 ↩ ↩2 ↩3

  3. Microsoft Learn, Certification Authority Web Enrollment. 参照箇所: 冒頭のbrowser-based interface to request and renew certificatesと、Capabilities and common tasksのInternet Information Services (IIS) web site。 ↩ ↩2

  4. Microsoft Security Response Center, CVE-2021-36942の機械可読データ. 参照箇所: articles配列内のFAQ、検索語An unauthenticated attacker could call a method on the LSARPC interfaceとOpenEncryptedFileRawA and OpenEncryptedFileRawW。認証なしの呼び出しでドメインコントローラーにNTLMで別のサーバーへ認証させられたことと、更新がLSARPC経由のこれらのAPI呼び出しを止めることの根拠です。攻撃者側のサーバーを接続先にするという本文の説明は、この「別のサーバーへ認証させる」記述を言い換えたものです。 ↩ ↩2 ↩3 ↩4 ↩5 ↩6 ↩7 ↩8 ↩9 ↩10 ↩11

  5. Microsoft Security Response Center, CVE-2021-36942の機械可読データ. 参照箇所: FAQの追加対応の問い、検索語Please see KB5005413とcombined CVSS score would be 9.8。更新後もKB5005413の対応が必要なことと、AD CSへのNTLMリレーと組み合わせた評価9.8の根拠です。 ↩ ↩2 ↩3 ↩4 ↩5 ↩6 ↩7 ↩8

  6. Microsoft Security Response Center, CVE-2021-36942の機械可読データ（Security Update Guide）. 参照箇所: cveTitle、releaseDate、severity、baseScore、vectorString、exploited。名称、2021年8月10日の公開、Important、CVSS 3.1基本値7.5、機密性への影響が高であること、公開時点の悪用「なし」の根拠です。 ↩ ↩2 ↩3 ↩4 ↩5 ↩6 ↩7 ↩8 ↩9

  7. Microsoft Security Response Center, ADV210003: Mitigating NTLM Relay Attacks on Active Directory Certificate Services (AD CS). 参照箇所: 公開日（2021年7月23日）と、KB5005413への参照。 ↩ ↩2

  8. Microsoft Support, KB5005413: Mitigating NTLM Relay Attacks on Active Directory Certificate Services (AD CS). 参照箇所: Summaryの検索語PetitPotam is a classic NTLM Relay Attack、services that permit NTLM authentication make use of protections such as Extended Protection for Authentication (EPA) or signing features such as SMB signing、takes advantage of servers where Active Directory Certificate Services (AD CS) is not configured with protections。 ↩ ↩2 ↩3 ↩4 ↩5 ↩6 ↩7 ↩8 ↩9

  9. Microsoft Open Specifications, [MS-EFSR] 2.1 Transport. 参照箇所: 検索語SHOULD be sent using the well-known endpoint \pipe\efsrpcとMAY respond to EFSRPC messages sent using the well-known endpoint \pipe\lsarpc、named pipes over the Server Message Block (SMB) Protocol。 ↩ ↩2 ↩3

  10. CISA, Known Exploited Vulnerabilities Catalogの公式JSON. 参照箇所: cveIDがCVE-2021-36942の要素のdateAdded（2021-11-03）とknownRansomwareCampaignUse（Known）。 ↩ ↩2 ↩3

  11. Microsoft Security Response Center, Mitigating NTLM Relay Attacks by Default. 参照箇所: 検索語CVE-2021-36942 (a LSARPC entry point relayed against Active Directory Certificate Services (AD CS))。原文のMicrosoft observed threat actors exploiting services that lack NTLM relaying protectionsに続く例です。 ↩ ↩2

  12. Microsoft Security Response Center, CVE-2021-36942の機械可読データ. 参照箇所: affectedProducts。Windows Server 2008 SP2、2008 R2 SP1、2012、2012 R2、2016、2019、バージョン2004と20H2（Server Coreを含む）が挙がり、クライアント向けのWindowsが挙がっていないことの根拠です。 ↩

  13. Microsoft Security Response Center, CVE-2021-36942の機械可読データ. 参照箇所: FAQの検索語domain controllers should be prioritized。すべてのサーバーが影響を受け、ドメインコントローラーを優先するという案内です。 ↩ ↩2

  14. Microsoft Open Specifications, [MS-EFSR] 3.1.4.2 EFSRPC Interface. 参照箇所: メソッド一覧のEfsRpcOpenFileRaw（Opnum 0）、Used to open an encrypted object on the server for backup or restore。 ↩

  15. Microsoft Security Response Center, Mitigating NTLM Relay Attacks by Default. 参照箇所: Backgroundの二段階、Coercing a victim to authenticateとRelaying the authentication。チャレンジと応答を中継する流れの説明は、この二段階の説明を直前のOutlookの記事と同じ形でまとめたものです。 ↩

  16. Microsoft Learn, Security alerts in Microsoft Defender for Identity (classic). 参照箇所: Suspicious Domain Controller certificate request (ESC8)の説明と、only supported by Defender for Identity sensors on AD CS。中継された認証でドメインコントローラー名義の証明書要求が通り得るという本文の説明は、証明書の登録Webサービスの説明のon behalf of the requesterと、このアラートの名称から組み立てたものです。Microsoftの文書がPetitPotamの結果として証明書の発行を明記しているわけではありません。 ↩ ↩2 ↩3

  17. Microsoft Security Response Center, Mitigating NTLM Relay Attacks by Default. 参照箇所: 検索語authenticate and perform actions on behalf of the victimとinitial foothold for further domain compromise。 ↩ ↩2 ↩3

  18. Microsoft Learn, [Extended Protection ](https://learn.microsoft.com/en-us/iis/configuration/system.webserver/security/authentication/windowsauthentication/extendedprotection/). 参照箇所: `Overview`の`mitigate authentication relay or "man in the middle" attacks`、`Channel Binding Token (CBT), which is primarily used for SSL connections`、`Service-binding information`、属性`tokenChecking`の`Require`の説明`does not provide support for clients that do not support extended protection`。中継された認証がAD CSとのTLS通信路に結び付いていないという本文の説明は、このCBTの仕組みから組み立てたものです。 ↩ ↩2 ↩3 ↩4

  19. Microsoft Security Advisory, 973811: Extended Protection for Authentication. 参照箇所: 検索語bound to both the Service Principal Names (SPN)とouter Transport Layer Security (TLS) channel。 ↩ ↩2

  20. Microsoft Support, KB5021989: Extended Protection for Authentication. 参照箇所: 検索語does not apply to NTLMv1。 ↩

  21. Microsoft Security Response Center, CVE-2022-26925. 参照箇所: 公開日（2022年5月10日）、悪用の確認、FAQの検索語coerce the domain controller to authenticate to the attacker using NTLMとdetects anonymous connection attempts in LSARPC and disallows it、ADV210003とKB5005413への参照。 ↩ ↩2 ↩3 ↩4 ↩5

  22. Microsoft Security Response Center, CVE-2021-36942の機械可読データ. 参照箇所: FAQの検索語will no longer work on Windows Server 2008 SP2。 ↩

  23. Microsoft Support, KB5005413. 参照箇所: MitigationのPrimary mitigation。検索語enabling EPA and disabling HTTP、Required being the more secure and recommended option、extendedProtectionPolicy、The Always setting is used when the UI is set to Required、Enable Require SSL、iisreset /restart。 ↩ ↩2

  24. Microsoft Security Response Center, Mitigating NTLM Relay Attacks by Default. 参照箇所: 検索語ships with EPA enabled by default for both AD CS and LDAP、Enabled - When Supported、Enabled – Always、Windows Server 2022 and 2019 can manually enable EPA for AD CS。 ↩ ↩2

  25. Microsoft Support, KB5005413. 参照箇所: Additional mitigationのlisted in order from more secure to less secure以下の三項目。ポリシー名と設定値は、KB5005413の英語表記のまま記載しています。監査を先に行うという本文の順序は、拒否の設定がNTLMを使う通信を止めることから導いた運用上の提案です。 ↩ ↩2

  26. Microsoft Tech Community, Advancing Windows security: Disabling NTLM by default. 参照箇所: 2026年1月29日の記事のPhase 3、検索語Network NTLM will be disabled by default、can be explicitly re-enabled via policy、subject to change。 ↩

  27. Microsoft Learn, Network security: Restrict NTLM: Audit NTLM authentication in this domainと、Microsoft Defender for Identityのイベント収集の設定の8004: NTLM Authentication。運用ログの場所と、監査が通信を止めないことはAudit Incoming NTLM TrafficのApplications and Services Log\Microsoft\Windows\NTLMとdoesn't actually block any trafficを参照しました。ポリシー名とログの場所は、資料の英語表記のまま記載しています。 ↩ ↩2

  28. Microsoft Support, Overview of NTLM auditing enhancements in Windows 11, version 24H2 and Windows Server 2025. 参照箇所: イベントID 4020/4021、4022/4023、4030/4031、4032/4033、By default, the events are enabled、Enhanced Protection for Authentication is marked as not supported or insecure、各ログのChannel Binding欄、Windows Server 2022と2019のOctober 13, 2026。このページの変更履歴にはWindows Server 2016と2019とする記述もありますが、本文の対象一覧の記述に従いました。 ↩ ↩2

  29. Microsoft Learn, Audit Certification Services. 参照箇所: イベント一覧の4886: Certificate Services received a certificate requestと4887: Certificate Services approved a certificate request and issued a certificate。 ↩ ↩2

  30. Microsoft Learn, What’s new archive for Microsoft Defender for Identity. 参照箇所: Defender for Identity release 2.158（2021年8月8日）のSuspicious network connection over Encrypting File System Remote Protocol (external ID 2416)とassociated with the recent PetitPotam attack。 ↩ ↩2

関連する記事

同じタグを共有する最新の記事です。さらに近い話題で知識を深められます。

関連トピック

このテーマと近いトピックページです。記事を起点に、関連するサービスや他の記事へ進めます。

このテーマがつながるサービス

この記事は次のサービスページにつながります。近い入口からご覧ください。

よくある質問

この記事のテーマについて、相談時によくある質問をまとめています。

2021年8月のセキュリティ更新を入れれば、PetitPotamの対策は終わりですか？
終わりではありません。Microsoftは更新に加えて、KB5005413に従ったAD CSの保護が必要だとしています。更新が止めたのはLSARPC経由の特定のAPI呼び出しで、AD CSがNTLMの中継を受け付ける状態は別に直す必要があります。

参考情報

AD CSを使っていない環境も影響を受けますか？
KB5005413が影響を受ける可能性があるとしているのは、AD CSで証明機関Web登録または証明書の登録Webサービスを使っている環境です。ただしCVE-2021-36942の更新はドメインコントローラーを優先してすべてのWindows Serverに適用するよう案内されています。

参考情報

Windows Server 2025のAD CSなら、設定を変えなくても安全ですか？
Windows Server 2025ではAD CSのEPAが既定で有効ですが、既定値はチャネルバインディングを提示しないクライアントも受け入れる「Enabled - When Supported」です。Microsoftは、古いクライアントへの対応が要らない環境ではより強い「Enabled – Always」を勧めています。

参考情報

EPAを有効にすれば、NTLMv1の中継も防げますか？
防げません。MicrosoftはEPAがNTLMv2、Kerberos、ダイジェスト、ネゴシエートの各認証に適用され、NTLMv1には適用されないと説明しています。NTLMv1の利用は別に洗い出して止める必要があります。

参考情報

著者プロフィール

記事の著者プロフィールページです。

小村 豪

合同会社小村ソフト 代表

Windows ソフト開発、技術相談、不具合調査を中心に、既存資産が残る案件や原因が見えにくい障害調査に強みがあります。

お問い合わせ
ブログ一覧に戻る