Microsoft SharePoint のリモートコード実行の脆弱性（CVE-2019-0604）

何が起きた

Microsoft SharePoint が、アプリケーションパッケージの中身の記述（ソースのマークアップ）を正しく確かめない弱点が見つかりました。悪用されると、SharePoint のアプリケーションプールとサーバーファームのアカウントの権限で、攻撃者のコードが実行される可能性があります。NVD の評価では、ネットワーク経由で、ログインなしに、被害者の操作も不要で悪用できます。実際の攻撃での悪用が確認されており、CISA によるとランサムウェアでの悪用も知られています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Microsoft の更新情報によると、SharePoint Server 2019、SharePoint Enterprise Server 2016、SharePoint Server 2013 Service Pack 1、SharePoint Foundation 2013 Service Pack 1、SharePoint Server 2010 Service Pack 2、SharePoint Foundation 2010 Service Pack 2 が対象です。なお、SharePoint Server 2010 は 2021年4月にサポートが終わっています。

何をすればいい

2019年2月12日に公開された Microsoft のセキュリティ更新プログラムを適用してください。例えば SharePoint Server 2019 は KB4462199、SharePoint Enterprise Server 2016 は KB4462211 です。自分の版に合う更新は、Microsoft の公式の案内で確認してください。サポートが終わった SharePoint Server 2010 は使い続けず、移行を検討してください。

やることチェックリスト

• 2019年2月の SharePoint の更新を適用する
• 使っている版の KB が適用済みか確認する
• SharePoint Server 2010 は移行を検討する

用語メモ

アプリケーションプール

Web サーバー（IIS）で、アプリを動かすためのまとまりと、その実行の権限を決める仕組みです。

サーバーファーム

複数のサーバーをまとめて1つのサービスとして動かす構成のことです。

ランサムウェア 用語集で見る

データを暗号化するなどして使えなくし、元に戻すことと引き換えにお金を要求する不正なプログラムです。