• ひとことでSkype for Business のサーバーで、内部の情報が外に漏れるおそれがある弱点です。
  • 深刻度5.3 警告CVSS v3.1
  • まずやることServer 2019 CU7 に KB4470124 を適用する

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2023-41763
製品Microsoft Skype for Business
深刻度（CVSS）5.3 警告CVSS v3.1
NVD に登録された、他の機関（開発元など）による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
KEVへの追加日2023-10-10
米国政府機関の対応期限2023-10-31
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-918（サーバーサイドリクエストフォージェリ（SSRF））

何が起きた

Microsoft の Skype for Business のサーバーに、権限を不正に広げられる（権限昇格）弱点が見つかり、実際に悪用が確認されています。攻撃者はネットワーク経由で、ログインなしに、利用者の操作も必要とせずに悪用できると評価されています。Microsoft によると、細工した通信をサーバーに送ると、サーバーが任意の（攻撃者が選んだ）宛先への通信を処理してしまい、IP アドレスやポート番号が攻撃者に知られる可能性があります。場合によっては、漏れた情報が社内ネットワークへの入り口になりうると説明されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者がサーバーに細工した通信を送る → 2. サーバーが指定された宛先への通信を処理する → 3. IP アドレスやポート番号が漏れる → 4. 漏れた情報が内部への入り口になりうる1攻撃者がサーバーに細工した通信を送る2サーバーが指定された宛先への通信を処理する3IP アドレスやポート番号が漏れる4漏れた情報が内部への入り口になりうる攻撃の流れ: 1. 攻撃者がサーバーに細工した通信を送る → 2. サーバーが指定された宛先への通信を処理する → 3. IP アドレスやポート番号が漏れる → 4. 漏れた情報が内部への入り口になりうる1攻撃者がサーバーに細工した通信を送る2サーバーが指定された宛先への通信を処理する3IP アドレスやポート番号が漏れる4漏れた情報が内部への入り口になりうる攻撃の流れ: 1. 攻撃者がサーバーに細工した通信を送る → 2. サーバーが指定された宛先への通信を処理する → 3. IP アドレスやポート番号が漏れる → 4. 漏れた情報が内部への入り口になりうる1攻撃者がサーバーに細工した通信を送る2サーバーが指定された宛先への通信を処理する3IP アドレスやポート番号が漏れる4漏れた情報が内部への入り口になりうる

誰が影響を受ける

Skype for Business Server 2015 CU13 と Skype for Business Server 2019 CU7 を運用している組織が対象です。Microsoft の情報では、Server 2015 CU13 は 6.0.9319.869 より前、Server 2019 CU7 は 7.0.246.530 より前の版が影響を受けます。

何をすればいい

Microsoft が配布しているセキュリティ更新を適用してください。Skype for Business Server 2019 CU7 は KB4470124、Skype for Business Server 2015 CU13 は KB3061064 が修正の更新です。更新後に、版がそれぞれ 7.0.246.530 以降、6.0.9319.869 以降になっているか確認しましょう。あわせて、Microsoft の公式の案内（セキュリティ更新プログラムガイド）を確認してください。

やることチェックリスト

  • Server 2019 CU7 に KB4470124 を適用する
  • Server 2015 CU13 に KB3061064 を適用する
  • 更新後のサーバーの版番号を確認する

用語メモ

権限昇格 用語集で見る
本来持っていないはずの、より強い権限を手に入れることです。
IP アドレス 用語集で見る
ネットワーク上で機器を見分けるための番号です。住所のような役割をします。
ポート番号
1台の機器の中で、どのサービスあての通信かを見分けるための番号です。

次に読む

同じ製品・メーカーの脆弱性Microsoft Windows（CVE-2026-96951）8.8 重要CVSS v3.1Windowsで、インターネットから来たファイルへの守りをすり抜けられる弱点です。同じ製品・メーカーの脆弱性Microsoft SharePoint（CVE-2026-65660）8.8 重要CVSS v3.1SharePointで、ログインした攻撃者に遠隔からコードを実行される弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Microsoft Skype for Business Privilege Escalation Vulnerability

概要

Microsoft Skype for Business contains an unspecified vulnerability that allows for privilege escalation.

推奨対応

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

この元データの出どころ: CISA KEV カタログで見る