Trusted Design

CVE-2025-49704 の詳細

CVEの情報

説明:
Improper control of generation of code ('code injection') in Microsoft Office SharePoint allows an authorized attacker to execute code over a network.

CVE更新日: 2025-07-08 17:15:57.867000

CVSSバージョン: 3.1

CVSSスコア: 8.8

KEVの情報

KEV更新日: 2025-07-22

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.999950000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2025-49704に関する調査結果を以下にまとめます。

1. 脆弱性の概要

CVE-2025-49704は、Microsoft SharePoint Serverに存在するコードインジェクションによるリモートコード実行（RCE）の脆弱性です。 この脆弱性は、Microsoft Office SharePointにおけるコード生成の不適切な制御（コードインジェクション）に起因します。 認証された攻撃者がネットワーク経由で悪意のあるコードを実行できる可能性があります。

この脆弱性は、CVE-2025-49706、CVE-2025-53770、CVE-2025-53771といった他のSharePointの脆弱性と連鎖して悪用されることが確認されており、「ToolShell」と呼ばれる攻撃チェーンの一部です。

1.1 影響

攻撃者は任意のコードを実行できるため、データ整合性、可用性の侵害につながる可能性があります。 また、特権昇格やさらなる不正アクセスを許す可能性があり、多要素認証（MFA）やシングルサインオン（SSO）などのID管理を回避して特権アクセスを取得する可能性があります。 内部ネットワークへの侵入後には、機密データの窃取、バックドアの設置、暗号鍵の奪取といった行為が行われることがあります。 侵害されたSharePointサーバーは、他の統合されたMicrosoftサービスへのゲートウェイとして機能する可能性があるため、組織にとって重大なリスクをもたらします。

1.2 深刻度

この脆弱性のCVSSv3.1スコアは8.8であり、深刻度は「HIGH（高）」に分類されます。 CVSSv3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:Hの評価を受けています。 米国サイバーセキュリティ・インフラセキュリティ庁（CISA）の既知の悪用された脆弱性カタログ（Known Exploited Vulnerabilities Catalog）に追加されており、積極的に悪用されていることが示されています。 この脆弱性は、Pwn2Own Berlinで報告され、SharePointを標的にした攻撃チェーンの一部として使用され、10万ドルの賞金が獲得されました。

2. 対象となる環境

2.1 影響を受けるOSバージョン

  • Microsoft SharePoint Enterprise Server 2016 (バージョン16.0.0以上16.0.5508.1000未満)
  • Microsoft SharePoint Server 2019 (バージョン16.0.0以上16.0.10417.20027未満)
  • Microsoft SharePoint Server Subscription Edition (16.0.18526.20508より前のバージョン)
  • Microsoft 365のSharePoint Onlineはこれらの脆弱性の影響を受けません。

2.2 影響を受ける設定

  • オンプレミスで運用されているMicrosoft SharePointサーバーが影響を受けます。
  • 特にインターネットに公開されているオンプレミスのSharePointサーバーは、侵害されたと見なすべきです。
  • CVE-2025-49704単体では認証が必要とされる場合がありますが、他の脆弱性（特にCVE-2025-49706やCVE-2025-53770）と組み合わせることで認証なしでのリモートコード実行が可能になることが報告されています。

3. 影響を受けた時の兆候

  • 異常なネットワークトラフィックパターンや異常なプロセスアクティビティ。
  • システム上での不正なスクリプト実行。
  • 疑わしいPowerShellスクリプトやASPXファイルの存在。
  • 「spinstall0.aspx」またはその亜種のようなWebシェルの展開。
  • ASP.NETマシンキーの窃取。
  • 悪意のあるIISモジュールがDLLとしてw3wp.exeに読み込まれる永続化手法。
  • cmd.exeを介して攻撃者が提供したコマンドが実行されている形跡 (MITRE ATT&CK T1059.003)。
  • サーバーソフトウェアコンポーネントとしてのWebシェルの存在 (MITRE ATT&CK T1505.003)。
  • 2025年7月17日から7月22日にかけてToolShell攻撃で観測されたような、特定のIPアドレスからの不審なアクセス。

4. 推奨対策

4.1 本対策

  • Microsoftが提供する最新のセキュリティアップデートを、影響を受けるすべてのバージョンに速やかに適用してください。
  • Microsoftのガイダンスに従い、SharePoint ServerのASP.NETマシンキーをローテーションしてください。
  • サポートされているSharePointのバージョンのみを使用するようにしてください。
  • SharePointでAntimalware Scan Interface (AMSI)統合を構成し、フルモードを有効にしてください。

4.2 暫定回避策（緩和策）

  • パッチ適用がすぐにできない場合は、影響を受けるSharePointサーバーを隔離し、疑わしいPowerShellやASPXファイルなどの異常なアクティビティを監視してください。
  • 既知の悪意のあるIPアドレスからのアクセスをブロックしてください。
  • オンプレミスのSharePointサーバーがインターネットに公開されている場合、すでに侵害されている可能性を考慮し、インシデント対応を実施してください。
  • 暗号鍵および証明書などの暗号資材のローテーションを実施してください。
  • セキュリティ専門家によるインシデント対応の実施を検討してください。
  • 詳細なIISログを有効にし、不審なIISモジュールを検出するための監視を強化してください。
  • Cortex Xpanseなどのソリューションを活用して、公衆インターネットに露出しているSharePointデバイスを特定し、セキュリティチームにエスカレートする機能を活用してください。
  • Cortex XDRエージェントバージョン8.7以降とコンテンツバージョン1870-19884または1880-19902を使用して、CVE-2025-49704およびCVE-2025-49706の悪用チェーンに関連する既知の悪用行為をブロックする対策を講じてください。
  • Snort SID 65092 (脆弱性) および 65183 (Webシェル) を使用して、エクスプロイト試行を検出する。

その他解説すべき観点

  • CVE-2025-49704は、以前の.NET Framework、SharePoint Server、およびVisual Studioのリモートコード実行の脆弱性であるCVE-2020-1147のエクスプロイトと非常に類似していることが指摘されています。
  • 複数の中国とつながりのあるサイバー攻撃グループ（例えば、亜麻台風、紫羅蘭台風）がこの脆弱性を悪用していると報告されています。
  • ESET社は、ToolShellの標的となったベトナムのマシンで、サイバースパイグループLuckyMouseに関連するバックドアを検出しています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る