Microsoft Exchange Server の権限昇格の脆弱性（CVE-2022-41080）

何が起きた

メールサーバーのソフト Microsoft Exchange Server に、攻撃者が権限を上げられる弱点が見つかりました。CISA によると、この弱点は別の弱点 CVE-2022-41082 と組み合わせて悪用でき、CVE-2022-41082 は遠くからコードを実行できる弱点です。NVD の評価では、ログイン不要で、ネットワーク経由で離れた場所から悪用できます。CISA の KEV では実際の悪用とランサムウェアでの悪用が確認されています。なお、Microsoft のページでは悪用は「No」のままです。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

自社のサーバーで Microsoft Exchange Server 2013、2016、2019 を動かしている組織が対象です。2022年11月のセキュリティ更新（KB5019758）を当てていないサーバーが影響を受けます。

何をすればいい

Exchange Server に KB5019758 のセキュリティ更新を当ててください。この更新は Exchange Server 2013 Cumulative Update 23、2016 Cumulative Update 22 と 23、2019 Cumulative Update 11 と 12 向けに出ています。公式の案内（Microsoft のセキュリティ更新プログラムガイド）を確認してください。

やることチェックリスト

• Exchange Server に KB5019758 を当てる
• 対象の Cumulative Update の版か調べる
• CVE-2022-41082 も KB5019758 で修正する

用語メモ

Exchange Server

Microsoft が作った、会社などで使うメールや予定表のサーバーソフトのことです。

Cumulative Update

それまでの修正をまとめて入れた、Exchange Server の大きめの更新のことです。

ランサムウェア

データを暗号化して使えなくし、元に戻す代わりにお金を要求する悪質なプログラムのことです。