Trusted Design

CVE-2025-27920 の詳細

CVEの情報

説明:
Output Messenger before 2.0.63 was vulnerable to a directory traversal attack through improper file path handling. By using ../ sequences in parameters, attackers could access sensitive files outside the intended directory, potentially leading to configuration leakage or arbitrary file access.

CVE更新日: 2025-05-05 16:15:50.857000

CVSSバージョン: 3.1

CVSSスコア: 7.2

KEVの情報

KEV更新日: 2025-05-19

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.501480000

EPSS更新日: 2026-06-01 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: medium

Automatable: True

AIを使った解説

解説:

CVE-2025-27920は、Output Messengerに存在するディレクトリトラバーサルの脆弱性です。以下にその詳細を解説します。

1. 脆弱性の概要

この脆弱性は、Output Messengerにおける不適切なファイルパス処理（ディレクトリトラバーサル）に起因します。認証された攻撃者が ../ (ドットスラッシュ) シーケンスをパラメータに利用することで、意図しないディレクトリ外のファイルにアクセスできる可能性があります。これにより、悪意のあるファイルをサーバーのスタートアップディレクトリにアップロードすることが可能になります。

1.1 影響

この脆弱性が悪用された場合、以下の影響が考えられます。

  • 機密ファイル（設定ファイル、機密性の高いユーザーデータ、ソースコードなど）へのアクセス。
  • 任意のファイルへのアクセスや実行。
  • リモートコード実行 (RCE) の可能性。
  • 複数の悪意のあるファイルの展開およびターゲットからのデータ流出。
  • サーバーが侵害されると、機密データの窃盗、すべてのユーザー通信へのアクセス、ユーザーのなりすまし、内部システムへのアクセス、および運用の中断につながる可能性があります。

1.2 深刻度

NVD (National Vulnerability Database) によると、この脆弱性の深刻度はCritical (緊急) であり、CVSS v3の基本スコアは9.8/10です。

  • 攻撃経路 (Attack Vector): ネットワーク
  • 攻撃の複雑さ (Attack Complexity): 低
  • 必要な特権 (Privileges Required): 認証済み (ファイルをアップロードする場合) / なし (ディレクトリトラバーサルによるファイルアクセスの場合のCVSS評価より)
  • ユーザーインタラクション (User Interaction): 不要
  • 機密性への影響 (Confidentiality Impact): 高
  • 完全性への影響 (Integrity Impact): 高
  • 可用性への影響 (Availability Impact): 高

2. 対象となる環境

2.1 影響を受けるOSバージョン

Output Messengerの脆弱性であるため、特定のOSバージョンに依存するものではありません。 影響を受けるのは、Output Messenger バージョン 2.0.63 未満です。

2.2 影響を受ける設定

Output Messenger Server Managerが影響を受けます。

3. 影響を受けた時の兆候

この脆弱性が悪用された際、以下の兆候が確認されています。

  • 攻撃者が OMServerService.vbs や OM.vbs といった悪意のあるファイルをスタートアップフォルダに配置する。
  • 偽装されたGoLangベースのバックドア OMServerService.exe が実行され、ハードコードされたC2（コマンド＆コントロール）サーバー (api.wordinfos[.]com) に接続する。
  • ターゲットからのデータ流出。

4. 推奨対策

4.1 本対策

Output Messengerをバージョン 2.0.63 以降にアップデートしてください。 開発元であるSrimaxは、この脆弱性に対応したバージョンV2.0.63をリリースしています。

4.2 暫定回避策（緩和策）

検索結果では、CVE-2025-27920に対する具体的な暫定回避策は明示されていません。 ただし、一般的な対策として、Output Messengerサーバーマネージャーへの認証されていないアクセスを防ぐための厳格なアクセス制御や、ネットワークレベルでのフィルタリングが考えられます。Microsoftのレポートでは、攻撃者が認証情報を傍受するためにDNSハイジャックやタイポスクワットドメインを利用していたことが示唆されており、認証情報の保護が重要です。

他に解説すべき観点

  • この脆弱性は、トルコに関連するサイバー諜報グループ「Marbled Dust」（別名：Sea Turtle、SILICON、UNC1326）によって、イラクの組織（クルド系軍事組織に関連する個人を含む）を標的としたスパイ活動でゼロデイ脆弱性として悪用されたことが確認されています。
  • Microsoft Threat Intelligenceがこの脆弱性を発見し、Output Messengerの開発元であるSrimaxに責任を持って開示しました。
  • この脆弱性は、CISA (米国サイバーセキュリティ・インフラセキュリティ庁) の「Known Exploited Vulnerabilities (KEV) Catalog」に追加されています。

参照したサイト

  • Output Messenger のゼロデイ脆弱性 CVE-2025-27920 が FIX：スパイ・キャンペーンでの悪用を確認 - IoT OT Security News
  • CVE-2025-27920 Detail - NVD
  • CVE-2025-27920: Directory Traversal Vulnerability - Output Messenger
  • Marbled Dust leverages zero-day in Output Messenger for regional espionage | Microsoft Security Blog
  • Output Messenger before 2.0.63 was vulnerable to a... · CVE-2025-27920 · GitHub Advisory Database
  • Output Messenger flaw exploited as zero-day in espionage attacks - Bleeping Computer
  • 米政府、脆弱性6件の悪用に注意喚起 - メールや社内チャットなども標的に - Security NEXT

NVDサイト

NVDでCVEの詳細を見る

戻る