Microsoft Exchange のリモートコード実行の脆弱性（CVE-2021-42321）

何が起きた

Microsoft の Exchange Server で、管理用のコマンド（コマンドレット）に渡す値の確かめ方が不十分なため、攻撃者のプログラムを動かされる（リモートコード実行）弱点が見つかり、実際に悪用が確認されています。NVD の評価では、攻撃者はネットワーク経由で悪用できますが、一般利用者程度の権限が必要です。Microsoft も、攻撃者はログイン済みである必要があるとしています。CISA によると、ランサムウェアの攻撃にも使われたことが分かっています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Microsoft によると、Exchange Server 2016 の Cumulative Update 21 と 22、Exchange Server 2019 の Cumulative Update 10 と 11 を使っている組織が対象です。Exchange Server 2013 は影響を受けないとされています。

何をすればいい

Microsoft は、セキュリティ更新プログラム KB5007409 で修正しています。Exchange Server 2016 の Cumulative Update 22 では 15.01.2375.017、Exchange Server 2019 の Cumulative Update 11 では 15.02.0986.014 以降になっているか確認してください。あわせて、Microsoft の公式の案内を確認してください。

やることチェックリスト

• Exchange Server の CU とビルド番号を確かめる
• セキュリティ更新プログラム KB5007409 を入れる
• 更新後のビルド番号が修正版か確かめる

用語メモ

リモートコード実行

離れた場所から、攻撃者が用意したプログラムを相手のコンピューターで動かすことです。

コマンドレット

Exchange Server などを管理するために使う、PowerShell の命令のことです。

Cumulative Update

Exchange Server の機能の修正をまとめた大きな更新です。これに合わせてセキュリティ更新プログラムが用意されます。

ランサムウェア

データを暗号化して使えなくし、元に戻すことと引きかえにお金を求める不正なプログラムです。