Trusted Design

解説:

CVE-2025-2776に関する脆弱性調査結果を以下に解説します。

1. 脆弱性の概要

CVE-2025-2776は、SysAid On-Premises版のServer URL処理機能における認証不要なXML外部実体（XXE）脆弱性です。 この脆弱性は、攻撃者が特別に細工したXMLデータを介してシステムをリモートから悪用することを可能にします。

1.1 影響

この脆弱性は、認証されていない攻撃者が管理者アカウントを乗っ取り、システムから機密ファイルを読み取ることができる「ファイル読み取りプリミティブ」を可能にします。 これにより、ITサービス管理システムの完全な侵害、機密データへのアクセス、設定変更、さらにはネットワーク内でのさらなる水平移動につながる可能性があります。 また、他の脆弱性（例: CVE-2024-36394）と組み合わせることで、リモートコード実行（RCE）に至る可能性もあります。

1.2 深刻度

CVE-2025-2776は「緊急」と評価されており、CVSS v3.1スコアは9.3です。 （NVDのCVSSスコアは9.8、一部では9.2 とも記載されています。） 機密性、完全性、可用性に対する影響は「高」とされています。 攻撃の複雑度は低く、特権もユーザーインタラクションも不要なため、ネットワーク経由で容易に悪用される可能性があります。 CISA（米国サイバーセキュリティ・インフラセキュリティ庁）は、この脆弱性が実際に悪用されていることを確認し、既知の悪用されている脆弱性（KEV）カタログに追加しています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

OSバージョンに関する具体的な言及はありませんが、SysAid On-Premises版のアプリケーションレベルの脆弱性です。

2.2 影響を受ける設定

• 影響を受ける製品: SysAid On-Premises版
• 影響を受けるバージョン: SysAid On-Premises版バージョン 23.3.40 およびそれ以前
• 脆弱な機能: Server URL処理機能におけるXML外部実体処理の不適切な取り扱い。具体的には、XML解析時に外部実体解決が無効化されていないことが原因です。 脆弱性は、/ServerURL処理エンドポイントに関連しています。

3. 影響を受けた時の兆候

• 管理者アカウントの乗っ取り。
• 機密性の高いローカルファイル（管理者認証情報を含む）の外部流出。
• データ漏洩、機密情報の損失。
• 不審なアクセス試行、管理者アカウントのアクティビティ、SysAidサーバー上の異常なファイルアクセスパターン。
• 予期しないソースからの/mdm/checkinおよび/lshwへのリクエスト。
• 攻撃者が制御するドメインへの外部HTTP/DNSコールバック。
• コマンド実行または新しいスケジュールされたタスク/サービスの兆候。
• ロールの変更（例: sysaid.logファイルでrole_idを検索することで検出可能）。

4. 推奨対策

4.1 本対策

• SysAid On-Premises版をバージョン24.4.60以降にアップグレードしてください。 （またはバージョン23.3.40より新しいバージョンにアップグレードしてください。）
• SysAidが提供するCVE-2025-2776用のパッチを適用してください。

4.2 暫定回避策（緩和策）

• SysAid On-Premises版サーバーをファイアウォールの背後に隔離し、必要なポートと信頼できるIP範囲からのアクセスのみに制限してください。
• Webアプリケーションファイアウォール（WAF）ルールを実装し、XXEパターンを含む不審なXMLトラフィックを検出およびブロックしてください。
• SysAidサーバー上の不審なアクセス試行、管理者アカウントのアクティビティ、異常なファイルアクセスパターンに対する監視を強化してください。
• SOAPエンドポイント（例: /mdm/checkinや/lshw）の公開を制限し、信頼できる内部ネットワークからのみアクセス可能であることを確認してください。
• AI駆動型SIEM（セキュリティ情報イベント管理）を導入し、ロールの変更を検出してください（例: sysaid.logで"role_id"をgrepする）。
• 侵入検知・防御システム（IDS/IPS）を設定し、XML外部実体（XXE）インジェクション試行を検出してください。
• XMLパーサーで外部実体解決を無効にし、安全なXML解析ライブラリを使用してください。
• パッチ適用後や侵害調査後に、すべての管理者パスワードとシークレットをリセットし、資格情報をローテーションしてください。
• サービスアカウントを強化し、ログや設定ファイルに平文の認証情報が含まれないようにしてください。
• 侵害が疑われる場合は、影響を受けるホストを隔離し、ログとメモリを保存し（インシデントレスポンスのため）、インシデントレスポンスチームと連携してください。

参照したサイト

• CVE-2025-2776 | Critical Vulnerability in SysAid On-Prem - Appsecure Security
• CVE-2025-2776 (SysAid On-Prem) - FireCompass
• CISA: Attackers Exploiting SysAid Vulnerabilities (CVE-2025-2775, CVE-2025-2776)
• CVE-2025-2776 - Exploits & Severity - Feedly
• CVE-2025-2776 - CVE Record
• Critical SysAid XXE Vulnerabilities Expose Systems to Remote Exploitation (CVE-2025-2775–2777) - SonicWall
• CISA Warns: SysAid Flaws Under Active Attack Enable Remote File Access and SSRF
• CVE-2025-2776 - Wavense
• SysAid On-Prem Pre-Auth RCE Chain - Medium
• CISA Warns of SysAid Vulnerability Exploitation - SecurityWeek
• SysOwned, Your Friendly Support Ticket - SysAid On-Premise Pre-Auth RCE Chain (CVE-2025-2775 And Friends) - watchTowr Labs