JVNDB-2019-006629

複数のMicrosoft 製品における情報を公開される脆弱性

複数のMicrosoft 製品には、Microsoft Exchange Server が表示名に印字できない文字を含むエンティティの作成を許可する場合、情報を公開される脆弱性が存在します

ベンダは、本脆弱性を「Microsoft Exchange の情報漏えいの脆弱性」として公開しています。

マイクロソフト

• Mail and Calendar
• Microsoft Exchange Server  2010 SP3
• Microsoft Exchange Server  2013 Cumulative Update 23
• Microsoft Exchange Server  2016 Cumulative Update 12
• Microsoft Exchange Server  2016 Cumulative Update 13
• Microsoft Exchange Server  2019 Cumulative Update 1
• Microsoft Exchange Server  2019 Cumulative Update 2
• Microsoft Lync  2013 SP1 (32-bit)
• Microsoft Lync  2013 SP1 (64-bit)
• Microsoft Lync  Basic 2013 SP1 (32-bit)
• Microsoft Lync  Basic 2013 SP1 (64-bit)
• Microsoft Office 2013 RT SP1
• Microsoft Office 2013 SP1 (32-bit editions)
• Microsoft Office 2013 SP1 (64-bit editions)
• Microsoft Office 2016 (32-bit edition)
• Microsoft Office 2016 (64-bit edition)
• Microsoft Office 2016 for Mac
• Microsoft Office 2019 for 32-bit editions
• Microsoft Office 2019 for 64-bit editions
• Microsoft Office 2019 for Mac
• Microsoft Outlook 2010 SP2 (32-bit editions)
• Microsoft Outlook 2010 SP2 (64-bit editions)
• Microsoft Outlook 2013 SP1 (32-bit editions)
• Microsoft Outlook 2013 SP1 (64-bit editions)
• Microsoft Outlook 2016 (32-bit edition)
• Microsoft Outlook 2016 (64-bit edition)
• Microsoft Outlook for Android
• Microsoft Outlook for iOS
• Office 365 ProPlus for 32-bit Systems
• Office 365 ProPlus for 64-bit Systems
• Skype for Business 2016 (32-bit)
• Skype for Business 2016 (64-bit)
• Skype for Business 2016 Basic (32-bit)
• Skype for Business 2016 Basic (64-bit)

認証された攻撃者により、無効な表示名を持つエンティティを作成されることで、情報を公開される可能性があります。

ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

マイクロソフト

• Security Update Guide : CVE-2019-1084 | Microsoft Exchange Information Disclosure Vulnerability
• セキュリティ更新プログラムガイド : CVE-2019-1084 | Microsoft Exchange の情報漏えいの脆弱性

1. 情報漏えい(CWE-200) [NVD評価]

1. CVE-2019-1084

1. National Vulnerability Database (NVD) : CVE-2019-1084
2. IPA 重要なセキュリティ情報 : Microsoft 製品の脆弱性対策について(2019年7月)
3. JPCERT 注意喚起 : JPCERT-AT-2019-0029

• [2019年07月24日]
    掲載