Microsoft Exchange Server の権限昇格の脆弱性（CVE-2021-34523）

何が起きた

メールサーバーの Microsoft Exchange Server に、権限昇格につながる弱点が見つかりました。NVD の評価では、離れた場所からログイン不要で攻撃できますが、Microsoft の評価では、攻撃はその機器の上で行うものとされています。CISA の一覧に悪用が確認された脆弱性として載っており、CISA によるとランサムウェアでの悪用も確認されています。

誰が影響を受ける

Microsoft によると、Exchange Server 2013 Cumulative Update 23、Exchange Server 2016 Cumulative Update 19 と 20、Exchange Server 2019 Cumulative Update 8 と 9 が影響を受けます。

何をすればいい

Microsoft によると、この弱点は2021年4月の更新プログラム（KB5001779）で修正されています。2021年4月の更新をまだ入れていない Exchange Server には、すぐに適用してください。すでに入れている場合は、追加の作業は不要です。公式の案内を確認してください。

やることチェックリスト

• Exchange Server に KB5001779 を適用する
• 2021年4月の更新が入っているか確かめる
• 対象の Cumulative Update の版を調べる

用語メモ

権限昇格

本来は持っていない、より強い権限（管理者など）を手に入れることです。

Cumulative Update

Exchange Server 向けに定期的に出る、それまでの修正をまとめた更新のことです。

ランサムウェア

データを暗号化して使えなくし、元に戻すことと引き換えにお金を要求する悪質なプログラムです。