Microsoft Exchange Server のリモートコード実行の脆弱性（CVE-2022-41082）

何が起きた

Microsoft Exchange Server に、ログイン済みの攻撃者がサーバー上で任意のコード（攻撃者が好きに選べるプログラム）を実行できる弱点が見つかりました。「ProxyNotShell」と呼ばれ、別の脆弱性 CVE-2022-41040 と組み合わせて悪用できるとされています。攻撃の場所は、NVD と Microsoft の評価の指標では「同じネットワーク内から」、Microsoft の FAQ では「ネットワーク経由」とされており、出典によって説明が分かれています。どちらの場合も、攻撃者はログイン（認証）済みである必要があります。CISA の KEV に掲載されて実際の悪用が確認されており、ランサムウェアでの悪用も知られています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Microsoft によると、Microsoft Exchange Server 2013 Cumulative Update 23、Exchange Server 2016 Cumulative Update 22 と 23、Exchange Server 2019 Cumulative Update 11 と 12 を使っている組織が対象です。Microsoft によると、Exchange Online の利用者は対応の必要はありません。

何をすればいい

Microsoft が 2022年11月8日に公開した更新プログラム KB5019758 が入っているか確認してください。Microsoft は、この更新をすぐに入れることを強く勧めています。この更新は対象の Cumulative Update ごとに用意されているので、自分の Exchange Server の Cumulative Update に合ったものを入れます。以前に案内されていた一時的な緩和策（URL Rewrite のルールなど）は、今は推奨されていません。あわせて Microsoft の公式の案内（セキュリティ更新プログラムガイド）を確認してください。

やることチェックリスト

• Exchange の Cumulative Update を確認する
• KB5019758 の更新を入れる
• すべての Exchange サーバーに更新を入れる

用語メモ

Cumulative Update

Exchange Server などで定期的に出る、それまでの修正をまとめた大きな更新です。

ProxyNotShell

2022年に見つかった Exchange Server の2つの脆弱性につけられた呼び名です。

KB

Microsoft が更新プログラムに付ける番号です。この番号で、どの修正が入っているかを確かめられます。