Microsoft Exchange Server のSSRFの脆弱性（CVE-2022-41040）

何が起きた

Microsoft のメールサーバー製品 Exchange Server に、外部からの依頼でサーバー自身に別の通信をさせてしまう弱点（サーバーサイドリクエストフォージェリ）が見つかりました。Microsoft とNVDはこの脆弱性を「権限昇格の脆弱性」と呼んでいます。「ProxyNotShell」と呼ばれ、CVE-2022-41082 と組み合わせて悪用できるとされ、CVE-2022-41082 はリモートでのコード実行を許すものです。実際の悪用が確認されており、ランサムウェアでの悪用も知られています。NVD に登録された Microsoft の評価では、ネットワーク経由で、一般利用者程度の権限を持つ攻撃者が悪用でき、Microsoft も攻撃者はログイン済みである必要があるとしています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

自社で Microsoft Exchange Server を運用している組織が対象です。Microsoft の情報では、Exchange Server 2013、Exchange Server 2016、Exchange Server 2019 の各 Cumulative Update が影響を受けます。Microsoft は、Exchange Online の利用者は対応不要としています。

何をすればいい

Microsoft が公開したセキュリティ更新プログラム KB5019758 を、使っている Exchange Server に適用してください。Cumulative Update が古い場合は、更新プログラムの対象となる Cumulative Update にそろえる必要があります。あわせて Microsoft の公式の案内を確認し、手順に従って対応してください。

やることチェックリスト

• Exchange Server に KB5019758 を適用する
• Cumulative Update を更新の対象版にそろえる
• CVE-2022-41082 の修正も済んでいるか確かめる

用語メモ

サーバーサイドリクエストフォージェリ

攻撃者が細工した依頼を送り、サーバー自身に本来しない通信をさせる攻撃です。SSRF とも呼ばれます。

権限昇格 用語集で見る

本来持っていない、より強い権限を手に入れることです。

Cumulative Update 用語集で見る

Exchange Server 向けに定期的に出る、修正や機能をまとめた更新です。

ランサムウェア 用語集で見る

データを暗号化して使えなくし、元に戻す代わりに身代金を求める不正なプログラムです。