Microsoft の MSMQ サービスに３つの深刻な脆弱性：４月と７月の月例で対応済み

Critical Flaws Found in Microsoft Message Queuing Service

2023/07/25 InfoSecurity — Microsoft Message Queuing (MSMQ) サービスで、３つの脆弱性が発見された。MSMQ は、アプリケーション間の安全な通信を可能にするために、複数のコンピュータ上で動作するよう設計された、独自のメッセージング・プロトコルである。7月24日 (月) に発表したアドバイザリで、Fortinet のサイバー・セキュリティ研究部門である FortiGuard Labs が、これらの欠陥について説明している。

１つ目の脆弱性は、メッセージ・ヘッダ・パーサ・ルーチンにおける適切な検証の欠如に起因するものである。この脆弱性の悪用に成功した攻撃者は、境界外読出しを引き起こし、無効なメモリアドレスにアクセスすることで、サービス拒否攻撃を引き起こす可能性がある。

Fortinet は、「私たちの分析によると、情報漏えいが生じるとは考えにくいようだ。しかし、無効なアドレスにアクセスする境界外読出しにより、サービス拒否攻撃が生じる可能性がある。

２つ目の脆弱性は、任意のサイズを持つメッセージ・ヘッダに対する、不十分な検証に起因するものだ。

Fortinet は、「いくつかのメッセージ・ヘッダが検証されていないため、ポインタが任意の場所 (この文脈では無効なアドレス) を指すように調整される可能性があり、メッセージ・ヘッダへのポインタがコードの後の部分で、dereferenced されたときにメモリ破壊が引き起こされる可能性がある。

最後の脆弱性は、CompoundMessage ヘッダー内の不正なデータ構造に起因する。この脆弱性の悪用に成功した攻撃者は、境界外書き込みを引き起こし、MSMQ のカーネルモード・コンポーネントである MQAC.SYS に影響を与え、メモリ破壊とコード実行を引き起こす可能性がある。

一連の深刻な脆弱性を発見した FortiGuard Labs は、Microsoft に対して速やかに報告している。それを受けた Microsoft は、2023年4月／7月のセキュリティ更新プログラムで対応している。同社は、潜在的なサイバー脅威から身を守るため、速やかにシステムを更新するようユーザーに呼びかけている。

Microsoftは、「ユーザー組織が壊滅的なサイバー攻撃の犠牲になるのを防ぐために、最新の Microsoft のパッチを速やかに適用すべきである」と述べている。

• MS.Windows.MSMQ.CVE-2023-21554.Remote.Code.Execution
• MS.Windows.Message.Queuing.Service.CVE-2023-28302.DoS
• MS.Windows.Message.Queuing.Service.CVE-2023-21769.DoS

Microsoft の MSMQ サービスに深刻な脆弱性が発見されたとのことですが、このブログに同製品が登場するのは、初めてのことだと思います。なお、Microsoft 2023-4 月例／2023-7月例 アップデートの記事には、MSMQ に関する記述はありませんでした。