Microsoft Exchange Serverの脆弱性に対する緩和策が回避されると判明

Microsoft Exchange server zero-day mitigation can be bypassed

2つの脆弱性は「CVE-2022-41040」および「CVE-2022-41082」として追跡されており、ベトナムのサイバーセキュリティベンダであるGTSCによってZero Day Initiative（ZDI）プログラムを通じて報告され、公開されている。

米国土安全保障省サイバーセキュリティ・インフラストラクチャセキュリティ庁(CISA: Cybersecurity and Infrastructure Security Agency)も、これら脆弱性に対して注意するよう警告を発している(参考「Microsoft Exchange Serverに不正侵入許す脆弱性、修正がくるまで緩和策を | TECH+（テックプラス）」)。

Microsoftはこの問題を認識しており、セキュリティアドバイザリの一環としてオンプレミスのサーバに対する緩和策を共有し、組織内の管理者以外のユーザーのリモートPowerShellアクセスを無効にするよう強く推奨されている。また、悪用されるリスクを減らすためにIISマネージャのルールを通じて、既知の攻撃パターンをブロックすることが提案されている。

しかしながら、セキュリティ研究者のJang氏の調査により、CVE-2022-41040およびCVE-2022-41082の悪用を防ぐためのMicrosoftの一時的な緩和策が回避できることが明らかとなった。Jang氏の調査結果はGTSCのセキュリティ研究者によって検証されており、Microsoftの緩和策では十分な保護が提供されないことが確認されている。なお、検証結果はYouTubeで動画が公開されている。

Microsoft Exchange mitigations bypass CVE-2022-41040, CVE-2022-41082 - YouTube

Bleeping Computerは、世界各地の1,200以上の組織がこの問題を抱えているMicrosoft Exchange ServerをWeb上に公開しているが、中には金融、教育、政府機関も含まれており、スパイ活動や恐喝を行うサイバー犯罪者にとって魅力的なターゲットとなっていると警告している。