Microsoft Exchange Server の情報漏えいの脆弱性（CVE-2021-33766）

何が起きた

メールサーバーの Microsoft Exchange Server に、情報が漏れる弱点が見つかりました。CISA によると、ログインしていない攻撃者が、ねらった相手のメールのやり取りを盗めるおそれがあります。NVD の評価では、離れた場所からログインも利用者の操作もなしに悪用でき、CISA によると実際の悪用が確認されています。なお、Microsoft の更新ガイドでは、公開時点で悪用は確認されていないとされていました。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Microsoft の更新ガイドによると、Exchange Server 2013 Cumulative Update 23、Exchange Server 2016 Cumulative Update 19 と 20、Exchange Server 2019 Cumulative Update 8 と 9 を使っている組織が対象です。

何をすればいい

Microsoft の更新ガイドでは、この弱点の修正としてセキュリティ更新 KB5001779 が示されています。お使いの Exchange Server に、この更新かそれより新しい更新が入っているか確認してください。公式の案内を確認してください。

やることチェックリスト

• Exchange Server の版と更新の状況を調べる
• セキュリティ更新 KB5001779 以降を適用する
• 古い Cumulative Update のままにしない

用語メモ

Exchange Server

Microsoft のメールや予定表を扱うサーバーのソフトウェアです。主に会社などの組織で使われます。

Cumulative Update

それまでの修正をまとめて含む、Exchange Server の定期的な更新のことです。