Trusted Design

CVE-2025-24989 の詳細

CVEの情報

説明:
An improper access control vulnerability in Power Pages allows an unauthorized attacker to elevate privileges over a network potentially bypassing the user registration control. This vulnerability has already been mitigated in the service and all affected customers have been notified. This update addressed the registration control bypass. Affected customers have been given instructions on reviewing their sites for potential exploitation and clean up methods. If you've not been notified this vulnerability does not affect you.

CVE更新日: 2025-02-19 23:15:15.167000

CVSSバージョン: 3.1

CVSSスコア: 8.2

KEVの情報

KEV更新日: 2025-02-21

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.016220000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2025-24989に関する調査結果を以下にまとめます。

1. 脆弱性の概要

CVE-2025-24989は、Microsoft Power Pagesにおける不適切なアクセス制御の脆弱性です。この脆弱性により、認証されていない攻撃者がネットワークを介して権限を昇格させ、ユーザー登録制御を回避する可能性があります。

1.1 影響

この脆弱性が悪用されると、不正な攻撃者がネットワークを介して特権を昇格し、ユーザー登録制御をバイパスする可能性があります。これにより、機密データへの不正アクセス、データ漏洩、不正な改変、アカウント乗っ取りなどのリスクが生じます。

1.2 深刻度

  • CVSSスコア:
    • NVDによる評価では、CVSS 9.8の「緊急」とされています。
    • Microsoftによる評価では、CVSS 8.2の「重要」とされています。
  • EPSS: 悪用される確率は1.6%とされています。
  • CISA KEV (Known Exploited Vulnerabilities): CISAの「悪用が確認された脆弱性カタログ」に登録されており、実際に攻撃で悪用されたゼロデイ脆弱性であることが確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

Microsoft Power PagesはSaaSプラットフォームであるため、特定のOSバージョンには依存しません。

2.2 影響を受ける設定

この脆弱性は、Microsoft Power Pagesのインスタンスにおけるユーザー登録制御の不適切な設定に影響を及ぼします。Microsoftから脆弱性の影響を受ける旨の通知を受けた顧客が対象となります。通知を受けていない場合は、この脆弱性の影響を受けません。

3. 影響を受けた時の兆候

影響を受けた際の兆候としては、以下の点が挙げられます。

  • 不正な特権昇格の発生
  • 疑わしい行動やユーザー登録
  • 不正な変更
  • 異常なアクセスパターンを示す活動ログ

4. 推奨対策

4.1 本対策

Microsoftは、この脆弱性に対してすでにサービスレベルで緩和策を適用済みであり、影響を受けるすべての顧客に通知しています。顧客側でパッチをインストールする必要はありません。影響を受けた顧客には、潜在的な悪用の有無を確認し、クリーンアップする方法に関する指示が提供されています。

4.2 暫定回避策（緩和策）

  • Microsoftによるサービスでの修正が適用される前に登録されたアカウントがないか、Power Pagesサイトを確認する。
  • 登録試行のログを実装し、管理者ロールや不正なロールへの変更に対してアラートを設定する。
  • 異常なアクセスパターンを検出するために異常検出システムを利用する。
  • セキュリティ強化のために多要素認証を適用する。
  • 管理者は、不審な操作、ユーザー登録、または不正な変更がないか活動ログを確認する。
  • 特権、セキュリティロール、アクセス許可、およびウェブページアクセス制御の最近の変更を調査する。

5. その他の解説

  • この脆弱性は、Microsoftの従業員であるRaj Kumar氏によって発見されました。
  • CISAは、この脆弱性に対して連邦政府機関に対し2025年3月14日までの緩和策適用期限を設定しました。
  • この脆弱性は、公開時点で既に攻撃に利用されているゼロデイ脆弱性として確認されました。

参照サイト

  • CVE-2025-24989 – Microsoft Power Pages Improper Access Control… - UK Cyber Defence
  • CVE-2025-24989: Microsoft Power Pages Privilege Escalation - SentinelOne
  • CVE-2025-24989: Microsoft Power Pages — registration control bypassed | SCRTY:CRDS
  • Microsoft Power Pages vulnerability exploited in the wild - Cybersecurity Dive
  • Microsoft Patches Exploited Power Pages Vulnerability - SecurityWeek
  • Microsoft Power Pages の脆弱性 CVE-2025-24989：悪用の報告と今後の対処について
  • Windowsの脆弱性（2025年3月公開）に関するお知らせ -FMWORLD（法人）:富士通
  • NVD-CVE-2025-24989 - National Vulnerability Database
  • An improper access control vulnerability in Power Pages... · CVE-2025-24989 - GitHub
  • Microsoft fixes Power Pages zero-day bug exploited in attacks - Bleeping Computer
  • CISA KEV - IoT OT Security News

NVDサイト

NVDでCVEの詳細を見る

戻る