Trusted Design

CVE-2025-42999 の詳細

CVEの情報

説明:
SAP NetWeaver Visual Composer Metadata Uploader is vulnerable when a privileged user can upload untrusted or malicious content which, when deserialized, could potentially lead to a compromise of confidentiality, integrity, and availability of the host system.

CVE更新日: 2025-05-13 01:15:48.440000

CVSSバージョン: 3.1

CVSSスコア: 9.1

KEVの情報

KEV更新日: 2025-05-15

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.127430000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2025-42999は、SAP NetWeaverのVisual Composerコンポーネントにおける深刻な脆弱性です。以下にその詳細を解説します。

1. 脆弱性の概要

CVE-2025-42999は、SAP NetWeaver Visual Composer Metadata Uploaderにおける信頼できないデータのデシリアライゼーションの脆弱性です。 この脆弱性は、多くの場合、先行して開示された別の脆弱性であるCVE-2025-31324（無制限ファイルアップロードの脆弱性）と組み合わせて悪用されることが確認されています。

1.1 影響 この脆弱性が悪用されると、攻撃者は影響を受けるSAP NetWeaverホスト上でリモートコード実行 (RCE) を行い、システムを完全に制御する可能性があります。 これにより、ホストシステムの機密性、完全性、可用性が侵害される恐れがあります。 攻撃者は、Webシェルやランサムウェアを展開したり、永続化を確立したり、環境内でさらに侵入するためにシステムを悪用したりする可能性があります。 特に、CVE-2025-31324と組み合わせることで、認証されていないリモートの脅威アクターが、システム上で任意のコマンドを特権なしで実行できるようになります。

1.2 深刻度 CVE-2025-42999は、CVSS v3.1基本スコアが9.1の「緊急（Critical）」と評価されています。 米国サイバーセキュリティ・社会基盤安全保障庁 (CISA) は、この脆弱性が実際に悪用されていることを確認し、「既知の悪用されている脆弱性（KEV）カタログ」に登録しています。 また、ランサムウェアキャンペーンで悪用されていることも報告されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン 影響を受けるのはSAP NetWeaver Visual Composer Metadata Uploaderコンポーネントです。 具体的なOSバージョンに関する直接的な記述はありませんが、基盤となるOSが影響を受ける可能性があります。Visual ComposerはSAP NetWeaver 2004s以降でデフォルトで有効になっています。

2.2 影響を受ける設定 本脆弱性は、Visual Composerが有効になっているSAP NetWeaverインスタンスが影響を受けます。 特に、SAP NetWeaver (Visual Composer開発サーバー) の特定のバージョン（例: VCFRAMEWORK 7.50）がパッチ適用前の場合に影響を受けます。 デシリアライゼーションの脆弱性は、SAPターゲットシステム上でVisualComposerユーザーロールを持つユーザーによってのみ悪用可能です。

3. 影響を受けた時の兆候

以下のような兆候が確認される場合があります。 * アプリケーションの展開場所に予期せぬJSP、Java、またはクラスのアーティファクトが存在する。 * NetWeaverディレクトリ内に悪意のあるWebシェル活動（例: helper.jspやcache.jsp、rrx.jspやdyceorp.jspのようなランダムな名前のJSPファイル）が見られる。 * NetWeaverおよびWebアプリケーションのログに異常なアップロードおよびデシリアライゼーション活動が記録されている。 * SAPアプリケーションで予期せぬファイルのアップロードや不審なプロセスなど、異常な挙動が見られる。

4. 推奨対策

4.1 本対策 * SAPセキュリティノート3604119に記載されている修正プログラムを直ちに適用してください。 * SAP NetWeaver Visual Composerを最新の修正済みバージョンにアップグレードしてください。

4.2 暫定回避策（緩和策） * 直ちにパッチを適用できない場合、運用上可能であればVisual Composerコンポーネントまたは開発サーバーエイリアスを無効にすることを検討してください。 * Visual Composer Metadata Uploaderへのアクセスを、明示的に許可された管理者ユーザーと信頼できる管理ネットワークのみに制限してください。 * アップロードされるコンテンツに対して入力検証を実装してください。 * ファイアウォールを使用して、/developmentserver/metadatauploaderエンドポイントへのアクセスを制限してください。 * システムログを監視し、不審な活動がないか確認してください。 * インターネットからのSAPアプリケーションへのアクセスを見直し、制限してください。

5. その他解説すべき観点

  • 活発な悪用: この脆弱性は、2025年3月以降、ゼロデイとして実際に活発に悪用されており、多くの場合CVE-2025-31324と組み合わせて悪用されています。
  • ランサムウェアでの利用: CISAは、この脆弱性がランサムウェアキャンペーンで利用されていることを報告しています。
  • CISA KEVカタログへの登録: 2025年5月15日にCISAの既知の悪用されている脆弱性（KEV）カタログに追加されました。 米国連邦政府機関は、2025年6月5日までにこの脆弱性の修正を完了することが義務付けられていました。
  • 公開されているエクスプロイトコード: この連携する脆弱性に対するエクスプロイトコードが公開されています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る