CVEノート

最近の脆弱性 › CVE-2021-31196

Microsoft Exchange Server の情報漏えいの脆弱性（CVE-2021-31196）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号CVE-2021-31196
製品Microsoft Exchange Server
深刻度（CVSS）7.2 重要CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
KEVへの追加日2024-08-21
米国政府機関の対応期限2024-09-11
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）不明

何が起きた

メールのサーバーソフト Microsoft Exchange Server に、外部からプログラムを実行されるおそれがある弱点が見つかりました。CISA は、情報が漏れる弱点で、それがプログラムの実行につながるとしています。NVD の評価では、攻撃者はネットワーク経由で悪用できますが、管理者などの高い権限が必要とされています。実際に悪用されたことが確認されています。

誰が影響を受ける

Microsoft Exchange Server 2013 Cumulative Update 23、2016 Cumulative Update 20 と 21、2019 Cumulative Update 9 と 10 を使っている組織が対象です。Microsoft のライフサイクルのページでは、Exchange Server 2013 のサポートは 2023 年 4 月に、Exchange Server 2016 と 2019 のサポートは 2025 年 10 月に終わっています。

何をすればいい

Microsoft は、Exchange Server 2013 には KB5004778、2016 には KB5004779、2019 には KB5004780 の更新を出しています。ただし Exchange Server 2013、2016、2019 はどれもサポートが終わっているため、使い続けず、Microsoft の案内に従ってサポートのある製品へ移ることを検討してください。必ず公式の案内を確認してください。

やることチェックリスト

用語メモ

Exchange Server
Microsoft のメールや予定表を扱うサーバーのソフトです。会社などで使われます。
Cumulative Update
それまでの修正をまとめて入れた、Exchange Server の更新の版です。

元データ（英語・CISA KEV より）

Microsoft Exchange Server Information Disclosure Vulnerability

概要

Microsoft Exchange Server contains an information disclosure vulnerability that allows for remote code execution.

推奨対応

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

公式情報