Trusted Design

CVE-2022-41080 の詳細

CVEの情報

説明:
Microsoft Exchange Server Elevation of Privilege Vulnerability

CVE更新日: 2022-11-09 22:15:21.550000

CVSSバージョン: 3.1

CVSSスコア: 8.8

KEVの情報

KEV更新日: 2023-01-10

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.773260000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2022-41080について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2022-41080は、Microsoft Exchange Serverにおける特権昇格の脆弱性です。この脆弱性は、認証されたリモート攻撃者がOutlook Web Application (OWA) エンドポイントを介して、システムコンテキストでPowerShellを実行する権限を取得することを可能にします。

この脆弱性は、CVE-2022-41082（リモートコード実行の脆弱性）と組み合わせて悪用されることが多く、「OWASSRF」と呼ばれる攻撃チェーンの一部です。OWASSRF攻撃チェーンは、ProxyNotShell（CVE-2022-41040とCVE-2022-41082の組み合わせ）に対してMicrosoftが提供したURLリライト緩和策を回避できることが特徴です。

1.1 影響

攻撃者は、この脆弱性を悪用することで、Exchange Server上で特権を昇格させることが可能になります。CVE-2022-41082と連鎖されると、リモートコード実行（RCE）が達成され、システムを完全に制御し、ランサムウェアなどのマルウェアを展開する可能性があります。具体的な攻撃の兆候として、管理者アカウントの作成、AnyDeskやPlinkなどのリモートアクセスツールのインストール、SSHトンネルの作成、LSASSプロセスのメモリダンプによる認証情報の収集などが観測されています。機密性、完全性、可用性への影響は高いと評価されています。

1.2 深刻度

CVSS v3.1スコアは8.8（高）に分類されます。米サイバーセキュリティ・インフラストラクチャ・セキュリティ庁（CISA）のKnown Exploited Vulnerabilities (KEV) カタログに2023年1月10日に追加されており、実環境での悪用が確認されています。攻撃元区分はネットワーク、攻撃条件の複雑さは低、必要な特権レベルは低（認証が必要ですが、標準ユーザーアカウントで悪用可能）、ユーザー関与レベルは不要とされています。

2. 対象となる環境

Microsoft Exchange Serverが影響を受けます。

2.1 影響を受けるOSバージョン

CVE-2022-41080は、以下のMicrosoft Exchange Serverのバージョンに影響を与えます。

  • Exchange Server 2013 Cumulative Update 23
  • Exchange Server 2016 Cumulative Update 22 および 23
  • Exchange Server 2019 Cumulative Update 11 および 12

2.2 影響を受ける設定

  • Outlook Web Application (OWA) エンドポイントが関連しています。
  • 特に、ProxyNotShellに対して適用されたURLリライト緩和策が、OWASSRF攻撃チェーンによって回避される可能性があります。

3. 影響を受けた時の兆候

以下のような兆候が確認される場合があります。

  • 不審なPowerShellスクリプトの実行。
  • Webシェル（.aspxファイル形式が多い）のデプロイ（例: inetpub\wwwroot\aspnet_clientなどのIISワーカープロセス関連ディレクトリ）。
  • IISのワーカープロセスであるw3wp.exeプロセスを介したコマンド実行。
  • 管理者アカウントの作成、AnyDesk、Plink、SSHトンネルの作成、LSASSプロセスからの認証情報ダンプなどの不審なアクティビティ。
  • メールボックスへの不審なアクセス、攻撃元、攻撃プロセス、成功回数などがログから確認できる場合がある。
  • 攻撃者が活動を隠蔽するためにアンチフォレンジック技術を使用する場合があります。

4. 推奨対策

4.1 本対策

  • Microsoftからリリースされているセキュリティ更新プログラムを速やかに適用してください。
  • 具体的には、2022年11月の月例セキュリティ更新プログラム（KB5019758など）がこの脆弱性の修正パッチとして提供されています。

4.2 暫定回避策（緩和策）

  • Microsoftは、非管理者ユーザーのリモートPowerShellアクセスを組織内で無効にすることを強く推奨しています。
  • 更新プログラムが適用できない場合、オフラインインストールパッケージを直接ダウンロードして更新することも有効です。

他に解説すべき観点

  • この脆弱性は、ベトナムのセキュリティ企業GTSCによって発見され、当初はゼロデイ脆弱性として確認されていました。
  • 「ProxyNotShell」は、CVE-2022-41040（Server-Side Request Forgery）とCVE-2022-41082（Remote Code Execution）の組み合わせを指す名称であり、CVE-2022-41080とは異なる脆弱性ですが、同じExchange Serverに関連する攻撃チェーンとしてしばしば言及されます。CVE-2022-41080は、ProxyNotShellのURLリライト緩和策をバイパスするOWASSRFチェーンの一部として悪用されました。
  • この脆弱性を悪用した攻撃では、Playランサムウェアが展開された事例も確認されています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る