Microsoft Exchange の SSRF 脆弱性 CVE-2026-45504：任意ファイル読み取りと PoC の公開

Microsoft Exchange SSRF Vulnerability Details Released Along With Public PoC Exploit

2026/07/03 CyberSecurityNews — Microsoft Exchange に存在する深刻なサーバサイド・リクエスト・フォージェリ (SSRF) の脆弱性 CVE-2026-45504 の技術的詳細を、HawkTrace のセキュリティ研究者たちが公表した。この脆弱性は CVSS スコア 8.8 と評価されており、脆弱な Exchange サーバからの任意のファイル読み取りを、認証済みの低権限ユーザーに対して許すものであり、オンプレミス環境に依存する企業に深刻な懸念をもたらしている。

Microsoft Exchange は、企業向けの電子メール／カレンダー／コラボレーション用途で広く利用されており、機密性の高い通信を扱う中核的な役割を担うことから、不正アクセスを可能にする脆弱性により甚大な被害が生じる可能性がある。この問題は、添付ファイルのプレビュー時や SharePoint サービスとの統合時に、Exchange が外部 URL を処理する方法に起因する。

HawkTrace の分析によると、この脆弱性は OneDriveProUtilities コンポーネント内の TryTwice／GetWacUrl 関数に存在する。これらの関数は、ドキュメント・プレビュー用の WOPI (Web Application Open Platform Interface) データやアクセス・トークンを取得するために HTTP リクエストを送信する。

Exchange の公開 PoC エクスプロイト が登場

問題の根本的な原因は、ユーザーが制御可能な入力が十分な検証なしに、WebRequest.CreateHttp へと渡される点にある。

認証済みユーザーが Exchange Web Services (EWS) を使用して、特別に細工した参照添付ファイル (reference attachment) を作成することで、この攻撃は開始される。このアタッチメントには攻撃者が制御するサーバを指す ProviderEndpointUrl が含まれているため、被害者がアクセスまたはプレビューすると、Exchange サーバは WOPI metadata を取得するために、攻撃者のサーバへバックエンド・リクエストを送信する。

その後に、攻撃者は悪意の WebApplicationUrl を返すが、そのレスポンスには通常の HTTP／HTTPS URL の代わりに、”file:///C:/Windows/win.ini” のような file URI が含まれる。通常は、Exchange が追加するクエリ・パラメータによりファイル・パスは破綻するが、研究者は fragment 文字 (#) を利用する単純な回避手法を実証した。

つまり、”file:///C:/Windows/win.ini#” のようなペイロードを返すことで、fragment 以降に追加される内容は無視され、システムはローカル・ファイル・パスを正しく処理する。その結果として、Exchange は意図せずローカル・ファイル・システムに対して FileWebRequest を実行し、そのファイルの内容を攻撃者へ返す。

これにより、この SSRF 脆弱性は実質的に任意ファイル読み取りプリミティブとなり、コンフィグ・データ／認証情報／内部サービス情報などの、機密性の高いシステム・ファイルへのアクセスを許すようになる。

この脆弱性の根本原因は、WOPI エンドポイントから返される URL に対する スキームの検証が行われていないことにある。Exchange はレスポンスを信頼するため、このコンテキストでは許可されるべきではない、”file://” のような非 HTTP スキームを制限できなくなる。この信頼境界の破綻により、攻撃者は制御された外部リクエストから内部ファイル・アクセスへ移行できる。

HawkTrace は、GitHub 上で PoC エクスプロイトも公開しており、この脆弱性が実環境で悪用される手法についても示している。この PoC は、悪意のサーバのセットアップ／Exchange への認証／システムの hosts ファイルを含む任意のファイルの読み取りリクエストまでの、一連の処理を自動化するものだ。

今回の情報公開が浮き彫りにするのは、複雑なエンタープライズ・ソフトウェアにおける、SSRF 脆弱性による継続的なリスクである。認証が必要な環境であっても、低権限アクセスと不適切な入力検証が組み合わされると、深刻なデータ漏洩につながる可能性がある。

この問題を緩和するために、ユーザー組織にとって必要なことは、Microsoft が提供するセキュリティ更新プログラムを適用し、Exchange サーバが信頼できないエンドポイントへアウトバウンド・リクエストを送信できないよう制限することだ。特に、”file://” などの類似プロトコルをブロックする URL スキームの適切な検証は、悪用防止に不可欠である。

詳細な調査結果と実用的なエクスプロイトが公開され、脅威アクターたちが、これらの手法を標的型攻撃へ迅速に取り入れる可能性が高まっている。この状況を踏まえて、ユーザー組織は影響範囲を評価し、直ちにパッチを適用すべきである。

訳者後書：今回の記事では、Microsoft Exchange に存在する深刻な脆弱性 CVE-2026-45504 の詳細が紹介されました。この問題の主な原因は、外部から取得した URL の検証が不十分なことにあります。具体的には、添付ファイルのプレビューなどで利用されるコンポーネントが、本来は禁止すべき ” file://” などの形式を制限せずに処理してしまいます。さらに、ユーザーが入力したデータが適切にチェックされない状態でリクエストの作成に使われるため、攻撃者が用意した不正なパスをシステムがそのまま読み込んでしまいます。技術的な信頼の境界線が曖昧になっていることが、内部の重要なファイルを盗み見られてしまう危険性につながっています。ご利用のチームは、ご注意ください。よろしければ、Exchange での検索結果も、ご参照ください。