2024 年 6 月の Patch Tuesday に関する Akamai の見解

MSMQ サービスは Windows の オプション機能 であり、異なるアプリケーション間でメッセージを配信するのに使用されます。オプション機能であるにもかかわらず、Microsoft Exchange サーバーなど、Windows のエンタープライズアプリケーションの多くによってバックグラウンドで使用されています。 当社の調査結果から、このサービスは環境のほぼ 74% において、通常、複数のマシンにインストールされていることがわかりました。

今月は、ネットワークリモートコード実行（RCE）の重大な脆弱性（ CVE-2024-30080）があります。この脆弱性を利用することで、攻撃者は特別に細工されたパケットを被害者の MSMQ サーバーに送信して、コードをリモートで実行することができます。

MSMQ サービスはポート 1801 からアクセスできますが、クライアントの多くはアクセスする必要がないため （主にエンタープライズアプリケーション自体で使用されるため）、 ポート 1801 と MSMQ サービスへの任意のネットワークアクセスを制限することを推奨します。この脆弱性の緩和策として、Microsoft もこれを推奨しています。

許可リストポリシーを使用してサービスをセグメント化することで、実際に必要なマシンのみにアクセスできるようにしてください。セグメンテーションについては、弊社のブログ記事「 実用的観点からの（マイクロ）セグメンテーション 」（特に アプリケーションリングフェンシング と マイクロセグメンテーション のセクション）を参照してください。

Azure Data Science Virtual Machine は、Azure クラウドプラットフォームで利用できるカスタマイズされた仮想マシンイメージの一種であり、データサイエンスに必要なさまざまなツールやプログラムがあらかじめインストールされています。 CVE-2024-37325 は、24.05.24 より前のバージョンの Ubuntu DSVM に影響を及ぼす権限昇格（EoP）の脆弱性です。

攻撃者が脆弱性の悪用後に上位のセッションを行えるようになる一般的な EoP とは異なり、このケースでは仮想マシンにインストールされているサービスのいずれかから何らかのデータ漏えいが発生しているようです。認証されていない攻撃者が特定の要求を送信すると、認証済みユーザーの認証情報が漏えいし、攻撃者はその認証情報を使用してそのマシンにログインすることができます。

Microsoft は、影響を受けたマシンをアップグレードする方法に関する ガイダンス を提供しました。また、インストールされているサービスの 1 つに問題があるように思われるため、Akamai はそのマシンがリッスンしているすべてのポートをチェックし、それらをリングフェンスして外部アクセスを防止することをお勧めします。