Trusted DesignCVE-2025-48927 の詳細
CVEの情報
説明:
The TeleMessage service through 2025-05-05 configures Spring Boot Actuator with an exposed heap dump endpoint at a /heapdump URI, as exploited in the wild in May 2025.
CVE更新日: 2025-05-28 17:15:24.837000
CVSSバージョン: 3.1
CVSSスコア: 5.3
KEVの情報
KEV更新日: 2025-07-01
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.111040000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: medium
Automatable: True
CVE-2025-48927に関する調査結果を以下の観点で解説します。
1. 脆弱性の概要
CVE-2025-48927は、TeleMessageサービスにおける脆弱性です。この脆弱性は、Spring Boot Actuatorが
/heapdumpエンドポイントを外部に公開している設定に起因します。認証されていない攻撃者がこのエンドポイントにアクセスすることで、機密性の高い資格情報などを容易に抽出できる可能性があります。1.1 影響
攻撃者は、認証なしで
/heapdumpエンドポイントに対して単純なGETリクエストを送信するだけで、平文のユーザー名やパスワードを含む約150MBのヒープダンプファイルをダウンロードできてしまいます。これにより、機密情報が漏洩する可能性があります。1.2 深刻度
MITRE CNA（CVE Numbering Authority）は、CVSSv3.1のベーススコアを5.3（MEDIUM）と評価しています。ベクトルはCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:Nです。NIST NVDはまだベーススコアを提供していませんが、GreyNoise Labsは攻撃者が「容易に機密資格情報を抽出できる」と説明しています。
2. 対象となる環境
2.1 影響を受けるOSバージョン
不明。この脆弱性はTeleMessageサービスとその設定に関連しており、特定のOSバージョンへの依存は明示されていません。
2.2 影響を受ける設定
TeleMessageサービスが、Spring Boot Actuatorの
/heapdumpエンドポイントを/heapdumpURIで外部に公開する設定になっている場合に影響を受けます。この問題は、2025年5月5日までのTeleMessageサービスで継続していましたが、一部の情報源では、脆弱なデフォルト設定が2017年からのソフトウェアバージョン1.5までのみに存在したと主張しています。3. 影響を受けた時の兆候
影響を受けた際の兆候としては、外部に公開されたTeleMessageインスタンス上で、攻撃者が
/heapdumpに対してGETリクエストを行い、約150MBのヒープダンプファイルがダウンロードされた形跡が挙げられます。4. 推奨対策
4.1 本対策
2025年5月5日までこの問題が継続していたことから、この日付以降にリリースされた、本脆弱性に対処するTeleMessageサービスの修正済みバージョンへのアップデートが恒久的な対策となります。
4.2 暫定回避策（緩和策）
/heapdumpエンドポイントが外部に公開されている場合は、無効化するか、セキュリティを強化する。/heapdumpエンドポイントにアクセスできるように、アクセス制限を設ける。他に解説すべき観点
CISA KEV (Known Exploited Vulnerabilities) Catalogへの追加
CVE-2025-48927は、CISA (Cybersecurity and Infrastructure Security Agency) のKnown Exploited Vulnerabilities Catalogに登録されています。 これは、本脆弱性が実際に攻撃で悪用されたことが確認されており、米国の連邦政府機関に対しては、CISAが指定する期限内にこの脆弱性を修正することが義務付けられていることを意味します。この登録は、本脆弱性の深刻度と早急な対策の必要性を示唆しています。
参照したサイト