Microsoft Exchange Server の安全でないデシリアライズの脆弱性（CVE-2023-21529）

何が起きた

メールのサーバーソフト Microsoft Exchange Server に、信頼できないデータを元のプログラムの部品に戻す処理（デシリアライズ）を安全に行わない弱点が見つかり、実際に悪用が確認されています。CISA は、ランサムウェアでの悪用も確認されているとしています（Microsoft のページの悪用の表示は「なし」です）。Microsoft の説明では、攻撃者はログインが必要で、ネットワーク経由でサーバーのアカウントの権限でコードを実行できます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Exchange Server 2013 Cumulative Update 23、Exchange Server 2016 Cumulative Update 23、Exchange Server 2019 Cumulative Update 11 と 12 を使っている組織が影響を受けます。Exchange Server 2013 は 2023 年 4 月に、2016 と 2019 は 2025 年 10 月にサポートが終わっています。

何をすればいい

Microsoft は 2023 年 2 月に KB5023038 という更新でこの問題を直しています。まだ当てていなければ適用してください。ただし対象の Exchange Server はすべてサポートが終わっているため、使い続けずにサポート中の製品へ移行してください。公式の案内を確認し、手順に従って対策してください。

やることチェックリスト

• Exchange Server に KB5023038 を適用する
• サポート中のメールの仕組みへの移行を進める
• Exchange の Cumulative Update の版を確かめる

用語メモ

Exchange Server

会社のメールや予定表を管理する、Microsoft のサーバー用ソフトです。

デシリアライズ

保存や送信のために変換したデータを、元のプログラムの部品に戻す処理です。

ランサムウェア

ファイルを使えなくして、元に戻す代わりにお金を要求する悪意のあるソフトです。