Microsoftの「Exchange Server」の脆弱性「ProxyRelay」。このProxyRelayへの対処について、セキュリティ専門家はMicrosoftを批判している。なぜなのか。
2020年の12月以降、Microsoftのオンプレミス版メールサーバ「Exchange Server」にさまざまな脆弱（ぜいじゃく）性が発見された。その中の一つである「ProxyRelay」は、どのような脆弱性なのか。MicrosoftはProxyRelayのパッチ（修正プログラム）を公開したものの、セキュリティ専門家はMicrosoftの対処には問題があるとみている。
ProxyRelayは3つの脆弱性（CVE-2021-33768、CVE-2022-21979、CVE-2021-26414）を含む。攻撃者がこれらの脆弱性を連鎖的に悪用して、Exchange Serverを攻撃する可能性がある。攻撃者がProxyRelayに加え、Microsoftのセキュリティプロトコル「NT LAN Manager」（NTLM）による認証の脆弱性も悪用すれば、ユーザー企業は同一ネットワークの全サーバへの侵入を攻撃者に許す恐れがある。
台湾のセキュリティコンサルティング会社DEVCOREのセキュリティ研究者オレンジ・ツァイ氏は、ProxyRelayについて「Microsoftによるパッチ公開が遅かった」と指摘する。ProxyRelayの中の脆弱性の一つに対して、Microsoftがパッチを公開するまでに、脆弱性の発見から約1年を要したことを、ツァイ氏は理由に挙げる。同氏は、2020年12月にExchange Serverの脆弱性「ProxyLogon」を発見した人物だ。
ProxyRelayがどのくらい攻撃に悪用されたかに関するデータはない。ProxyRelayは今後も攻撃に悪用される可能性があるため、Exchange Serverのユーザー企業は迅速にパッチを適用することが重要だ。
第5回は、Exchange Serverの脆弱性を巡る最近の動向を見る。
米国TechTargetの豊富な記事の中から、最新技術解説や注目分野の製品比較、海外企業のIT製品導入事例などを厳選してお届けします。
Copyright © ITmedia, Inc. All Rights Reserved.
瞬時にM365が乗っ取られる――全社員に周知すべき“新フィッシング”の教訓
MFA（多要素認証）を入れたから安心という常識が崩れ去っている。フィッシング集団「Tycoon2FA」が摘発されたが、脅威が完全になくなったというわけではない。
「サイト内検索」＆「ライブチャット」売れ筋TOP5（2025年5月）
今週は、サイト内検索ツールとライブチャットの国内売れ筋TOP5をそれぞれ紹介します。
「ECプラットフォーム」売れ筋TOP10（2025年5月）
今週は、ECプラットフォーム製品（ECサイト構築ツール）の国内売れ筋TOP10を紹介します。
「パーソナライゼーション」＆「A／Bテスト」ツール売れ筋TOP5（2025年5月）
今週は、パーソナライゼーション製品と「A／Bテスト」ツールの国内売れ筋各TOP5を紹介し...
ITmediaはアイティメディア株式会社の登録商標です。
