CVE詳細 - CVE-2025-2775-

CVE-2025-2775 の詳細

CVEの情報

説明:
SysAid On-Prem versions <= 23.3.40 are vulnerable to an unauthenticated XML External Entity (XXE) vulnerability in the Checkin processing functionality, allowing for administrator account takeover and file read primitives.

CVE更新日: 2025-05-07 15:15:57.447000

CVSSバージョン: 3.1

CVSSスコア: 9.3

KEVの情報

KEV更新日: 2025-07-22

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.426120000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2025-2775に関する調査結果を以下の観点で解説します。

1. 脆弱性の概要

CVE-2025-2775は、SysAid On-Premise製品に存在する認証不要のXML外部エンティティ（XXE）脆弱性です。この脆弱性は、/mdm/checkin、/mdm/serverurl、および/lshwエンドポイントにおけるXML処理の不備に起因します。アプリケーションが攻撃者から提供されたXMLを、外部エンティティ解決を無効にせずに安全でない形で解析することで発生します。この脆弱性はCWE-611（XML外部エンティティ参照の不適切な制限）にマッピングされています。

1.1 影響

この脆弱性が悪用されると、攻撃者は以下のような広範囲な影響を引き起こす可能性があります。

管理者アカウントの乗っ取り: 認証されていない攻撃者が管理者アカウントを乗っ取ることが可能になります。
任意のファイルの読み取り: ホストOS上の任意のファイルを読み取ることができます。
資格情報の漏洩: InitAccount.cmdスクリプトに含まれる管理者ユーザー名と平文パスワードを含む資格情報を漏洩させる可能性があります。
サーバーサイドリクエストフォージェリ (SSRF): SysAidサーバーにリモートリソースを強制的にフェッチさせることができます。
リモートコード実行 (RCE): 他の脆弱性（例：CVE-2025-2778、後にCVE-2024-36394として再識別）と組み合わせることで、攻撃者が任意のOSコマンドを実行できるようになります。
ITSMの完全な乗っ取り: SysAidの管理者アクセス権を取得し、チケットの改ざん、データの盗難、サービスデスク担当者へのなりすましなどを引き起こす可能性があります。
コンプライアンスへの影響: チケットデータ（個人情報やインフラの詳細を含むことが多い）の漏洩は、GDPR、HIPAA、またはPCI違反につながる可能性があります。
サービス拒否 (DoS): サービス拒否状態を引き起こす可能性もあります。

1.2 深刻度

この脆弱性は、CVSS v3.1ベーススコアが9.3 (Critical)と評価されており、非常に深刻です。米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は、この脆弱性を既知の悪用されている脆弱性（KEV）カタログに2025年7月22日に追加しており、実際に活発な悪用が確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

OSの特定のバージョンは明記されていません。SysAid On-Premiseソフトウェア自体が影響を受けます。

2.2 影響を受ける設定

影響を受ける製品: SysAid On-Premiseの展開。
- SysAidの製品ラインアップには、自己ホスト型バージョンの「SysAid On-Prem」と、クラウド配信型の「SysAid SaaS」がありますが、本脆弱性の影響を受けるのは「SysAid On-Prem」です。
影響を受けるバージョン: SysAid On-Premのバージョン23.3.40およびそれ以前のすべての展開が影響を受けます。
影響を受けるエンドポイント: /mdm/checkin、/mdm/serverurl、および/lshwエンドポイント。
影響を受ける設定: XML解析時に外部エンティティの解決を無効にしていない設定。

3. 影響を受けた時の兆候

以下のような兆候が確認された場合、脆弱性が悪用された可能性があります。

不審なアウトバウンドDTDリクエスト。
Tomcatの子プロセスとして不審なcmd.exeの活動。
不正な.ps1ファイルが存在する。
SOAPエンドポイントに対する未認証のXMLリクエストのログが残っている。

4. 推奨対策

4.1 本対策

即時アップグレード: SysAid On-Premをバージョン24.4.60以降にアップグレードしてください。このバージョンで脆弱性が修正されています（2025年3月3日リリース）。

4.2 暫定回避策（緩和策）

インターネットからの露出制限: パッチが適用されるまで、/mdm/、/lshw、およびAPI.jspへのアクセスをリバースプロキシまたはWAFを介して制限し、信頼できる内部ネットワークからのみアクセス可能にしてください。
XML解析の強化: カスタムXMLパーサーを使用している場合は、外部エンティティ解決を無効にしてください。
資格情報のローテーション: InitAccount.cmdを削除し、SysAid管理者パスワードをリセットし、保存されているシークレットをすべて確認してください。
ネットワークレベルの保護: XXEシグネチャを検出できる侵入防止システム（IPS）などのネットワークレベルの保護を適用してください。

他に解説すべき観点

CISAの緊急指令: 米国CISAは、連邦政府機関に対し、2025年8月12日までにこの脆弱性を修正するよう拘束力のある運用指令（Binding Operational Directive 22-01）で義務付けています。民間組織も同様の緊急性を持って対応することが強く推奨されます。
PoCの公開と活発な悪用: この脆弱性の概念実証（PoC）エクスプロイトコードが公開されており、実際に攻撃で悪用されていることが確認されているため、早急な対策が必要です。
関連するCVE: CVE-2025-2775以外にも、SysAid On-PremにはCVE-2025-2776およびCVE-2025-2777といった同様のXXE脆弱性が存在します。また、CVE-2025-2775はCVE-2024-36394というコマンドインジェクションの脆弱性と組み合わせることで、リモートコード実行に繋がる可能性があります。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る