Trusted DesignCVE-2023-21529 の詳細
CVEの情報
説明:
Microsoft Exchange Server Remote Code Execution Vulnerability
CVE更新日: 2023-02-14 20:15:11.743000
CVSSバージョン: 3.1
CVSSスコア: 8.8
KEVの情報
KEV更新日: 2026-04-13
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.592940000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: False
CVE-2023-21529に関する調査結果を以下の観点で解説します。
1. 脆弱性の概要
1.1 影響
Microsoft Exchange Serverにおける認証済みリモートコード実行（RCE）の脆弱性です。ネットワークアクセスを持つ認証済み攻撃者が、信頼できないデータの不適切な逆シリアル化（insecure deserialization）を悪用して、脆弱なExchange Serverインスタンス上で任意のコードを実行できます。これにより、サーバーの完全な侵害、データ漏洩、およびエンタープライズ環境内での横方向の移動につながる可能性があります。
1.2 深刻度
深刻度は「高」と評価されており、CVSS v3.1スコアは8.8です。 攻撃の複雑度は低く、ユーザーの操作は必要ありません。 機密性、完全性、可用性のすべてに高い影響を与える可能性があります。
2. 対象となる環境
2.1 影響を受けるOSバージョン
この脆弱性はMicrosoft Exchange Serverに影響を与えます。具体的には以下のバージョンが影響を受けます。 * Microsoft Exchange Server 2013 Cumulative Update 23 (バージョン 15.00.1497.047 未満) * Microsoft Exchange Server 2016 Cumulative Update 23 (バージョン 15.01.2507.021 未満) * Microsoft Exchange Server 2019 Cumulative Update 11 (バージョン 15.02.0986.041 未満) * Microsoft Exchange Server 2019 Cumulative Update 12 (バージョン 15.02.1118.025 未満)
2.2 影響を受ける設定
この脆弱性を悪用するには、攻撃者はExchange Serverへのネットワークアクセスと認証された権限が必要です。 脆弱性の根源は、信頼できないデータの逆シリアル化（CWE-502）にあります。
3. 影響を受けた時の兆候
この脆弱性に関する具体的な兆候は詳細に記述されていませんが、一般的には、サーバーログの確認、不審な新規アカウントの有無、Webディレクトリ下に不審なファイルが作成されていないかなどを監視することが推奨されます。 この脆弱性は、金銭的動機を持つサイバー犯罪グループStorm-1175がMedusaランサムウェアを展開する攻撃で悪用されたことが報告されています。
4. 推奨対策
4.1 本対策
MicrosoftはCVE-2023-21529に対応するセキュリティアップデートをリリースしています。 組織はこれらのパッチを速やかに適用することが強く推奨されます。 * Microsoft Exchange Server 2013 CU23向けには、KB5023038が提供されています。
4.2 暫定回避策（緩和策）
最も効果的な対策は、提供されているセキュリティアップデートを適用することです。 * パッチが利用できない場合、CISAはベンダーの指示に従って緩和策を適用するか、BOD 22-01ガイダンスに従ってクラウドサービスを扱うか、製品の使用を中止するよう推奨しています。 * この種の脆弱性を悪用するには、一般的に攻撃者が脆弱な端末にアクセスできる必要があるため、信頼されたネットワークからのみアクセスを許可することで、本脆弱性が利用される可能性を軽減できる可能性があります。 * その他、具体的な暫定回避策については不明です。
他に解説すべき観点
参照したサイト: * CVE-2023-21529: Microsoft Exchange Server RCE Vulnerability - SentinelOne * CVE-2023-21529 | High Vulnerability in Microsoft Exchange Server - Appsecure Security * CVE-2023-21529: high Microsoft vulnerability (CVSS 8.8) - nFlo * NVD-CVE-2023-21529 - NIST * 米CISAが脆弱性7件をKEVカタログに追加：マイクロソフト4件、Adobe 2件、Fortinet 1件 | Codebook｜Security News * CVE-2023-21529 - CVE Record * CVE-2023-21529: Deserialization of Untrusted Data | Rapid7 Vulnerability Database * CVE-2023-21529: Microsoft Exchange Server — deserialization to code execution - SCRTY * Microsoft Exchange Server Remote Code Execution... · CVE-2023-21529 - GitHub * CVE-2023-21529: Microsoft Exchange Server 安全漏洞· PoC · 已在野利用 - 神龙漏洞库 * GreyNoise Analysis Of A Quartet of Exchange Remote Code Execution Vulnerabilities: CVE-2023-21529 * 2023年6月 セキュリティアップデート解説：Adobe社は18件、Microsoft社は94件の脆弱性に対応 * CVE-2023-21529 | Tenable® * Microsoft Exchange Server多个远程代码执行漏洞安全风险通告 * 【已复现】微软Exchange 邮件服务器0day漏洞预警 - 网星安全 * 標的型メール訓練サービス｜サイバープロテクター｜三井住友海上火災保険 * 2023 年 5 月のセキュリティ更新プログラム (月例) - Microsoft * Cisco IOS XE ソフトウェア Web UI 機能における複数の脆弱性 * なぜ組織の脆弱性管理は難しいのか？～CISAの2023年悪用脆弱性トップ15から考える * 脆弱性対策情報 | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構 * Adobe ColdFusionの脆弱性が多数の攻撃の標的に | FortiGuard Labs - Fortinet * アラート/アドバイザリ：Trend Micro Apex One 及びTrend Micro Apex One SaaSで確認した複数の脆弱性について（2023年02月）