Trusted Design

CVE-2025-3935 の詳細

CVEの情報

説明:
ScreenConnect versions 25.2.3 and earlier versions may be susceptible to a ViewState code injection attack. ASP.NET Web Forms use ViewState to preserve page and control state, with data encoded using Base64 protected by machine keys.  It is important to note that to obtain these machine keys, privileged system level access must be obtained. If these machine keys are compromised, attackers could create and send a malicious ViewState to the website, potentially leading to remote code execution on the server.  The risk does not originate from a vulnerability introduced by ScreenConnect, but from platform level behavior.  This had no direct impact to ScreenConnect Client. ScreenConnect 2025.4 patch disables ViewState and removes any dependency on it.

CVE更新日: 2025-04-25 19:15:49.143000

CVSSバージョン: 3.1

CVSSスコア: 8.1

KEVの情報

KEV更新日: 2025-06-02

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.035360000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2025-3935について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2025-3935は、ConnectWise ScreenConnect（旧ConnectWise Control）のバージョン25.2.3以前に存在する、ViewStateコードインジェクションの脆弱性です。この脆弱性は、ASP.NET Webフォームがページおよびコントロールの状態を維持するためにViewStateを利用する方法に起因します。ViewStateデータはBase64でエンコードされ、マシンキーによって保護されています。

攻撃者が特権システムレベルのアクセス権を取得し、これらのマシンキーを入手した場合、悪意のあるViewStateペイロードを作成してWebサイトに送信することで、サーバー上でリモートコード実行（RCE）を引き起こす可能性があります。 この問題はConnectWise ScreenConnectが直接導入した脆弱性ではなく、ASP.NETプラットフォームレベルの動作に起因するものです。

1.1 影響 攻撃者は脆弱性を悪用することで、対象のサーバー上でリモートコード実行（RCE）が可能になります。 この事案は、ConnectWise ScreenConnectのクラウド顧客のごく一部に影響を及ぼしました。 データ流出やランサムウェアの証拠は報告されていません。

1.2 深刻度 この脆弱性の深刻度は「高（High）」と評価されています。 CVSS v3.1スコアは以下の通りです。 * NIST NVDによるスコア：7.2 (High) (Vector: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H) * ConnectWise (CNA)によるスコア：8.1 (High) (Vector: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H)

2. 対象となる環境

2.1 影響を受けるOSバージョン 特定のOSバージョンは明示されていませんが、ASP.NET Webフォームに依存するConnectWise ScreenConnectが稼働するすべての環境が影響を受ける可能性があります。

2.2 影響を受ける設定 ConnectWise ScreenConnectのバージョン25.2.3およびそれ以前のバージョンが影響を受けます。 本脆弱性は、ASP.NET Webフォームを利用し、ViewState機能が公開されており、かつマシンキーが侵害される可能性のあるサーバーに影響します。攻撃には、マシンキーを取得するための特権システムレベルのアクセスが必要となります。

3. 影響を受けた時の兆候

  • 2025年5月28日にConnectWiseが、疑わしい国家レベルの脅威アクターに関連する不審な活動を報告しました。
  • パッチ適用後には、新たなローカルアカウント、予期せぬリスナー、2025年6月2日以降に作成されたファイルの有無を確認することが推奨されます。
  • 不正アクセスが確認されました。

4. 推奨対策

4.1 本対策 * ベンダーによる修正パッチの適用: ConnectWise ScreenConnectのバージョン25.2.4以降にアップデートを適用してください。 * このパッチはViewStateを無効化し、その依存関係をすべて削除します。 * クラウドを利用している顧客には自動的にアップデートが適用されます。 * オンプレミス環境の顧客は、手動でパッチを適用する必要があります。 * パッチ適用後には、マシンキーを再生成（ローテーション）してください。 * CISAは、ベンダーの修正プログラムを適用するか、利用を中止するよう勧告しています。

4.2 暫定回避策（緩和策） * 攻撃にはマシンキーを取得するための特権システムレベルのアクセスが必要であるため、システムへのアクセスを強化することでリスクを軽減できます。 * 厳格な認証情報のライフサイクル管理、権限分離、およびデフォルトで拒否するポリシーを適用することが重要です。 * 修正済みのビルドが適用できない場合は、攻撃者がアクセスできる経路からConnectWise ScreenConnectを隔離することを検討してください。

5. その他解説すべき観点

  • 公開日: 2025年4月24日。
  • 悪用が確認された日: 2025年6月2日（CISA KEVカタログに掲載）。
  • 過去には、関連する脅威アクターがCVE-2024-1708およびCVE-2024-1709を悪用したことが確認されています。
  • 本脆弱性は「プラットフォームレベルの課題」であり、マシンキーが侵害された場合、ASP.NET ViewStateを利用する他の製品にも影響を与える可能性があります。

参照サイト

NVDサイト

NVDでCVEの詳細を見る

戻る