最近の脆弱性 › CVE-2023-41763
Microsoft Skype for Business の権限昇格の脆弱性（CVE-2023-41763）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
基本情報（データから表示）
| CVE番号 | CVE-2023-41763 |
|---|---|
| 製品 | Microsoft Skype for Business |
| 深刻度（CVSS） | 5.3 警告CVSS v3.1 NVD に登録された、他の機関（開発元など）による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N |
| KEVへの追加日 | 2023-10-10 |
| 米国政府機関の対応期限 | 2023-10-31 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-918 |
何が起きた
Microsoft の Skype for Business のサーバーに、権限を不正に広げられる（権限昇格）弱点が見つかり、実際に悪用が確認されています。攻撃者はネットワーク経由で、ログインなしに、利用者の操作も必要とせずに悪用できると評価されています。Microsoft によると、細工した通信をサーバーに送ると、サーバーが任意の（攻撃者が選んだ）宛先への通信を処理してしまい、IP アドレスやポート番号が攻撃者に知られる可能性があります。場合によっては、漏れた情報が社内ネットワークへの入り口になりうると説明されています。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
Skype for Business Server 2015 CU13 と Skype for Business Server 2019 CU7 を運用している組織が対象です。Microsoft の情報では、Server 2015 CU13 は 6.0.9319.869 より前、Server 2019 CU7 は 7.0.246.530 より前の版が影響を受けます。
何をすればいい
Microsoft が配布しているセキュリティ更新を適用してください。Skype for Business Server 2019 CU7 は KB4470124、Skype for Business Server 2015 CU13 は KB3061064 が修正の更新です。更新後に、版がそれぞれ 7.0.246.530 以降、6.0.9319.869 以降になっているか確認しましょう。あわせて、Microsoft の公式の案内（セキュリティ更新プログラムガイド）を確認してください。
やることチェックリスト
- Server 2019 CU7 に KB4470124 を適用する
- Server 2015 CU13 に KB3061064 を適用する
- 更新後のサーバーの版番号を確認する
用語メモ
- 権限昇格
- 本来持っていないはずの、より強い権限を手に入れることです。
- IP アドレス
- ネットワーク上で機器を見分けるための番号です。住所のような役割をします。
- ポート番号
- 1台の機器の中で、どのサービスあての通信かを見分けるための番号です。
元データ（英語・CISA KEV より）
Microsoft Skype for Business Privilege Escalation Vulnerability
概要
Microsoft Skype for Business contains an unspecified vulnerability that allows for privilege escalation.
推奨対応
Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.