セキュリティ

SECURITY

公開：2024-11-20

【CVE-2024-49043】Microsoft SQL Server複数バージョンでリモートコード実行の脆弱性が判明、CVSS7.8の深刻度で早急な対応が必要に

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

• Microsoft SQL Server各バージョンでRCE脆弱性を確認
• XEvent.Configuration.dllに関する重大な脆弱性
• CVSS3.1スコア7.8の高リスク脆弱性

Microsoft SQL Serverの深刻な脆弱性が複数のバージョンで判明

MicrosoftはSQL Server 2016から2022までの複数バージョンにおいて、Microsoft.SqlServer.XEvent.Configuration.dllにリモートコード実行の脆弱性が存在することを2024年11月12日に公開した。この脆弱性は【CVE-2024-49043】として識別されており、CWEによる脆弱性タイプは信頼されていない検索パス（CWE-426）に分類されている。^[1]

CVSS 3.1による評価では基本スコアが7.8（High）とされており、攻撃元区分はローカル、攻撃条件の複雑さは低いと判定された。攻撃に必要な特権レベルは不要だが利用者の関与が必要とされており、機密性・完全性・可用性への影響がいずれも高いとされている。

影響を受けるバージョンは、SQL Server 2016 Service Pack 3からSQL Server 2022までの広範囲に及んでおり、各バージョンに対して修正プログラムが提供されている。特にSQL Server 2016 Service Pack 3（GDR）では13.0.6455.2未満、SQL Server 2022（CU 15）では16.0.4155.4未満のバージョンが影響を受けることが判明した。

Microsoft SQL Serverの脆弱性対象バージョン

リモートコード実行について

リモートコード実行とは、攻撃者が対象システムに対して遠隔から不正なコードを実行できる脆弱性のことを指す。主な特徴として、以下のような点が挙げられる。

• システムの制御権限を奪取される可能性がある
• 機密情報の漏洩やデータの改ざんのリスクが高い
• システム全体に影響を及ぼす重大な脆弱性として分類される

今回のMicrosoft SQL Serverの脆弱性では、Microsoft.SqlServer.XEvent.Configuration.dllにおけるリモートコード実行の可能性が確認された。この脆弱性はCVSS基本スコア7.8と評価されており、特権昇格や情報漏洩などの深刻な被害をもたらす可能性が指摘されているのだ。

Microsoft SQL Server脆弱性に関する考察

Microsoft SQL Serverの脆弱性対策として、各バージョンに対する修正プログラムの迅速な適用が重要な課題となっている。特にSQL Server 2016からSQL Server 2022まで広範囲に影響が及んでおり、企業のデータベース管理者は速やかなバージョン確認と更新プログラムの適用が求められるだろう。

今後の課題として、セキュリティアップデートの自動適用メカニズムの改善が挙げられる。データベースシステムの停止を最小限に抑えながら、セキュリティパッチを効率的に適用する仕組みの構築が必要となるはずだ。また、脆弱性の早期発見と修正に向けた開発プロセスの見直しも検討する必要があるだろう。

長期的な視点では、Microsoft SQL Serverのセキュリティアーキテクチャ全体の強化が望まれる。特に信頼されていない検索パスの問題に対する根本的な解決策の実装や、セキュリティ機能の強化が期待されるところだ。今後はAIを活用した脆弱性検知システムの導入なども視野に入れる必要があるだろう。

参考サイト

1. ^ CVE. 「CVE Record | CVE」. https://www.cve.org/CVERecord?id=CVE-2024-49043, (参照 24-11-20).
2. Microsoft. https://www.microsoft.com/ja-jp

※上記コンテンツはAIで確認しておりますが、間違い等ある場合はコメントよりご連絡いただけますと幸いです。

「セキュリティ」に関するコラム一覧「セキュリティ」に関するニュース一覧