Exchange Serverの脆弱性「ProxyNotShell」のPoCが公開 急ぎアップデートを

Microsoftは2022年11月の累積更新プログラムでMicrosoft Exchange Serverの脆弱性（ProxyNotShell）を修正した。その1週間後にはPoCが公開されたことから、該当製品を使っている場合は迅速にアップデートを適用することが推奨される。

[後藤大地，有限会社オングス]

　コンピュータ情報サイトの「Bleeping Computer」は2022年11月18日（現地時間）、「Microsoft Exchange Server」で見つかった2つの脆弱（ぜいじゃく）性、通称「ProxyNotShell」のPoC（Proof of Concept：コンセプトを実証するプログラムコード）が公開されたと伝えた。

　Microsoftによれば、既にProxyNotShellはサイバー攻撃に利用されていることを確認済みだという。PoCの公開でより悪用が進む可能性があることから、該当製品を使用している場合は迅速に情報を確認するとともにアップデートを適用することが推奨される。

ProxyNotShellのPoCが公開された（出典：MicrosoftのWebサイト）

既に悪用を確認済み　迅速なアップデートの適用を

　Microsoftは、2022年9月にはProxyNotShellを認識していたが、同年11月の累積更新プログラムまで同脆弱性を修正しなかった。ProxyNotShellは、CVE-2022-41040とCVE-2022-41082で、これを利用されると影響を受けたシステムでサイバー攻撃者が特権昇格し、システム権限で任意のコードが実行できるようになる。

　脆弱性の影響を受けるMicrosoft Exchange Serverのバージョンは以下の通りだ。

• Microsoft Exchange Server 2013
• Microsoft Exchange Server 2016
• Microsoft Exchange Server 2019

　2022年11月の累積更新プログラムは以下のバージョンのMicrosoft Exchange Serverに適用可能だ。

• Microsoft Exchange Server 2013 CU23（なお、2023年4月でサポート終了）
• Microsoft Exchange Server 2016 CU22 and CU23
• Microsoft Exchange Server 2019 CU11 and CU12

　脆弱性の積極的な悪用が確認されていることから、迅速にアップデートを適用することが推奨される。