Microsoft Exchange Server のリモートコード実行の脆弱性（CVE-2020-0688）

何が起きた

Microsoft の Exchange Server が、インストールのときに環境ごとに違う検証キーを作らないため、攻撃者にプログラムを動かされる（リモートコード実行）弱点が見つかり、実際に悪用が確認されています。Microsoft によると、検証キーを知っている攻撃者は、メールボックスを持つログイン済みの利用者として、細工したデータを Web アプリにデシリアライズさせることができ、その Web アプリは最も強い SYSTEM の権限で動いています。NVD の評価では、攻撃者はネットワーク経由で悪用できますが、一般利用者程度の権限が必要です。CISA によると、ランサムウェアの攻撃にも使われたことが分かっています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Microsoft によると、Exchange Server 2010 Service Pack 3 Update Rollup 30、Exchange Server 2013 Cumulative Update 23、Exchange Server 2016 Cumulative Update 14 と 15、Exchange Server 2019 Cumulative Update 3 と 4 を使っている組織が対象です。Exchange Server 2010 は 2020年10月に、Exchange Server 2013 は 2023年4月にサポートが終わっています。

何をすればいい

Microsoft が 2020年2月11日に公開したセキュリティ更新プログラムを入れてください。Exchange Server 2016 と Exchange Server 2019 は KB4536987、Exchange Server 2013 は KB4536988、Exchange Server 2010 は KB4536989 です。サポートが終わった Exchange Server 2010 と Exchange Server 2013 は使い続けないようにし、あわせて Microsoft の公式の案内を確認してください。

やることチェックリスト

• Exchange 2016 と 2019 に KB4536987 を入れる
• Exchange 2013 に KB4536988 を入れる
• サポートが終わった Exchange を置き換える

用語メモ

検証キー

Web アプリがやり取りするデータが改ざんされていないかを確かめるための秘密の鍵です。

デシリアライズ 用語集で見る

保存や送信のために変換したデータを、プログラムの中で使える形に戻す処理です。

Cumulative Update 用語集で見る

Exchange Server の機能の修正をまとめた大きな更新です。これに合わせてセキュリティ更新プログラムが用意されます。

ランサムウェア 用語集で見る

データを暗号化して使えなくし、元に戻すことと引きかえにお金を求める不正なプログラムです。