CVE-2021-36942

2021年8月に公開されたWindows Serverの脆弱性。認証を受けていない攻撃者がLSARPCインターフェイスのメソッドを呼び出し、ドメインコントローラーにNTLMで別のサーバーへ認証させることができた。AD CSへのNTLMリレーと組み合わせた攻撃はPetitPotamと呼ばれる。

概念URI

https://comcomponent.com/knowledge/cve-2021-36942/

別名・表記

PetitPotam / Windows LSA Spoofing Vulnerability

最終確認日

2026-08-01

機械可読データ

JSON-LD

この概念が関わる関係

• CVE-2021-36942はMS-EFSRを利用します。CVE-2021-36942では、LSARPC経由で呼び出せるEFSRPCのメソッドが使われた。2021年8月の更新はLSARPC経由のOpenEncryptedFileRawAとOpenEncryptedFileRawWの呼び出しを止める。 / 確度: 確立した関係 / 確認日: 2026-10-31 出典
• CVE-2021-36942はLSARPCを利用します。認証を受けていない攻撃者がLSARPCインターフェイスのメソッドを呼び出すことで成立した。 / 確度: 確立した関係 / 確認日: 2026-10-31 出典
• CVE-2021-36942はNTLM認証の誘発の原因になることがあります。認証を受けない呼び出しで、ドメインコントローラーにNTLMで別のサーバーへ認証させることができた。 / 確度: 条件付きの関係 / 確認日: 2026-10-31 出典
• CVE-2021-36942はMicrosoft Defender for Identityで確認できます。Defender for Identityは、ドメインコントローラーに対するEFS-RPCの悪用をアラート（外部ID 2416）で検出する。 / 確度: 条件付きの関係 / 確認日: 2026-10-31 出典

この概念を扱う記事

• PetitPotamはなぜドメインコントローラーの認証をAD CSへ中継できたのか？(主要トピック)

一次資料

• https://api.msrc.microsoft.com/sug/v2.0/en-US/vulnerability/CVE-2021-36942
• https://support.microsoft.com/en-us/servicing/os/windows-server/2021/07/kb5005413-mitigating-ntlm-relay-attacks-on-active-directory-certificate-services-ad-cs

このページはサイトの知識グラフ(_data/knowledge/)から自動生成されています。誤りの指摘はお問い合わせからお願いします。