Trusted Design

CVE-2025-23209 の詳細

CVEの情報

説明:
Craft is a flexible, user-friendly CMS for creating custom digital experiences on the web and beyond. This is an remote code execution (RCE) vulnerability that affects Craft 4 and 5 installs where your security key has already been compromised. Anyone running an unpatched version of Craft with a compromised security key is affected. This vulnerability has been patched in Craft 5.5.8 and 4.13.8. Users who cannot update to a patched version, should rotate their security keys and ensure their privacy to help migitgate the issue.

CVE更新日: 2025-01-18 01:15:07.633000

CVSSバージョン: 3.1

CVSSスコア: 8.0

KEVの情報

KEV更新日: 2025-02-20

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.217760000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2025-23209に関する脆弱性調査結果を以下に解説します。

1. 脆弱性の概要

CVE-2025-23209は、コンテンツ管理システム (CMS) であるCraft CMSに存在するリモートコード実行 (RCE) の脆弱性です。この脆弱性は、Craft CMSのデータベースバックアップワークフローにおけるコマンドインジェクションの欠陥に起因します。攻撃者は、Craft CMSのセキュリティキーがすでに漏洩しているインストール環境において、任意のコードを実行することが可能です。この脆弱性はCISAのKnown Exploited Vulnerabilities (KEV) カタログに登録されており、実際に攻撃で悪用されていることが確認されています。

1.1 影響

この脆弱性が悪用されると、攻撃者は影響を受けるCraft CMSのインストール環境上で任意のコードを実行することができます。これにより、システム全体の侵害、データ窃取、およびネットワーク内での横断的な移動につながる可能性があります。機密性、完全性、可用性すべてに影響を及ぼす可能性があります。

1.2 深刻度

CVE-2025-23209のCVSSv3スコアは8.0 (High) または8.1 (Critical) と評価されています。CISAもこの脆弱性を高深刻度として分類しており、実際に悪用が確認されているCISAのKEVカタログに含まれていることから、高いリスクを持つ脆弱性であるとされています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

特定のOSバージョンに関する情報は公開されていません。本脆弱性はCraft CMSのバージョンに依存します。

2.2 影響を受ける設定

以下のCraft CMSのバージョンが影響を受けます:

  • Craft CMS バージョン 4.0.0-RC1 以上 4.13.8 未満
  • Craft CMS バージョン 5.0.0-RC1 以上 5.5.8 未満

この脆弱性は、アプリケーションのセキュリティキーが事前に侵害されている場合にのみ発生します。セキュリティキーは、ユーザー認証トークン、セッションCookie、データベース値、および機密性の高いアプリケーションデータを保護する暗号化キーです。

3. 影響を受けた時の兆候

具体的な兆候についての明示的な記載は現状の検索結果にはありません。しかし、リモートコード実行が成功した場合、以下の兆候が考えられます。

  • Webサイトの改ざん
  • 意図しないファイルの作成、変更、または削除
  • 不審なネットワーク通信
  • システムのパフォーマンス低下

4. 推奨対策

4.1 本対策

影響を受けるCraft CMSのバージョンを、脆弱性が修正されたバージョンにアップグレードすることが推奨されます。

  • Craft CMS 4.13.8 以降
  • Craft CMS 5.5.8 以降

米国の連邦政府機関は、CISAの指令に基づき、2025年3月13日までにこの脆弱性に対する修正プログラムを適用することが義務付けられていました。

4.2 暫定回避策（緩和策）

直ちに最新バージョンにアップグレードできない場合、以下の暫定回避策が有効です。

  • セキュリティキーをローテーションし、そのプライバシーを確保する。
    • .env ファイルに含まれる古いセキュリティキーを削除します。
    • php craft setup/security-key コマンドを使用して新しいセキュリティキーを生成します。
    • 注意点: セキュリティキーを変更すると、以前のキーで暗号化されたデータ（一部のユーザー認証情報など）はアクセスできなくなる可能性があります。

参照したサイト

その他解説すべき観点

  • CWE (Common Weakness Enumeration): CWE-94 (Improper Control of Generation of Code / Code Injection - コード生成の不適切な制御 / コードインジェクション) に分類されます。
  • CISA KEV (Known Exploited Vulnerabilities): 米国サイバーセキュリティ・インフラセキュリティ庁 (CISA) のKnown Exploited Vulnerabilitiesカタログに2025年2月20日に追加されています。これは、この脆弱性が実際に悪用されているという信頼できる証拠があることを意味します。
  • 発見/公開日時: NVD (National Vulnerability Database) には2025年1月18日に公開されています。
  • 攻撃の複雑性: 攻撃はネットワーク経由で可能ですが、悪用には事前にCraft CMSのセキュリティキーが取得されている必要があります。この前提条件のため、攻撃の複雑性は高いとされています。しかし、一度セキュリティキーが取得されれば、攻撃者はユーザーの操作や特別な権限なしに脆弱性を悪用し、リモートコード実行を達成する可能性があります。

NVDサイト

NVDでCVEの詳細を見る

戻る