Microsoft Exchange Serverの脆弱性に対する緩和策 不十分で回避可能

MicrosoftはMicrosoft Exchange Serverにゼロデイの脆弱（ぜいじゃく）性が存在することを明らかにした。Microsoftはこの問題に対して緩和策を発表したが、セキュリティ研究者によれば公開された緩和策は不十分なようだ。

[後藤大地，有限会社オングス]

　Bleeping Computerは2022年10月3日（現地時間）に「Microsoft Exchange server zero-day mitigation can be bypassed」を公開し、Microsoftが2022年9月29日（現地時間）に発表したMicrosoft Exchange Serverの2つの脆弱（ぜいじゃく）性に対する緩和策が不十分だと指摘した。

　この脆弱性を利用するとリモートで任意のコードを実行できるとされ、緩和策の適用が推奨されていた。

Bleeping Computer「Microsoft Exchange server zero-day mitigation can be bypassed」のトップ（出典：Bleeping ComputerのWebサイト）

　セキュリティ研究者によれば、Microsoftが提案した緩和策は限定的な標的型攻撃に対処する内容で、緩和策そのものを回避できる。

リスクの高い状況に対処するには

　Bleeping Computerは、「世界の1200以上の組織がMicrosoft Exchange Serverを利用していて、サイバーセキュリティ犯罪者にとって魅力的な標的だ」と警鐘を鳴らす。