Trusted Design

解説:

CVE-2025-53690について、以下の観点から解説します。

1. 脆弱性の概要

CVE-2025-53690は、Sitecore製品におけるViewStateデシリアライゼーションの脆弱性です。この脆弱性は、ASP.NETのmachineKeyが公開されたり、既知のサンプルキーがそのまま使用されたりしている構成不備に起因します。

1.1 影響

この脆弱性が悪用されると、認証されていないリモートコード実行 (RCE) が可能になります。さらに、攻撃者は特権昇格、内部偵察、データ窃取、およびバックドアの設置を行う可能性があります。

1.2 深刻度

CVE-2025-53690の深刻度は「クリティカル」と評価されており、共通脆弱性評価システム (CVSSv3.1) のベーススコアは9.0です。

2. 対象となる環境

2.1 影響を受ける製品

以下のSitecore製品が影響を受ける可能性があります。

• Sitecore Experience Manager (XM)
• Sitecore Experience Platform (XP)
• Sitecore Experience Commerce (XC)
• Sitecore Managed Cloud
• Sitecore XP 9.0 および Active Directory 1.4 以前のバージョン

2.2 影響を受けるOSバージョン

この脆弱性はSitecore製品の設定に依存するため、特定のOSバージョンへの直接的な影響に関する具体的な情報は不明です。Sitecoreは通常Windows Server環境にデプロイされます。

2.3 影響を受ける設定

2017年以前のSitecore展開ガイドで提供されたサンプルASP.NET machineKeyをそのまま本番環境で使用している場合、この脆弱性の影響を受けます。デフォルトまたは既知のmachineKeyが使用されているデプロイも対象となります。

3. 影響を受けた時の兆候 (IoC: Indicators of Compromise)

• 不審なViewstateペイロードを含むPOSTリクエストの検出。
• WEEPSTEELマルウェアの展開（内部偵察ツール）。
• EARTHWORM、DWAgent、SharpHound、GoTokenTheftなどのオープンソースツールやカスタムツールの使用。
• Webアプリケーションのルートディレクトリがアーカイブされている。
• web.configなどの機密ファイルが窃取されている形跡。
• 不審なローカル管理者アカウント（例：asp$、sawadmin）の作成。
• SAM/SYSTEMハイブのダンプによる資格情報窃取の試み。
• RDPを介したラテラルムーブメント (横展開) の発生。
• 特定のC2サーバー（例: 130.33.156[.]194:443、103.235.46[.]102:80）への不審な接続。
• CISAの既知の悪用された脆弱性 (KEV) カタログに本脆弱性が追加されていること。

4. 推奨対策

4.1 本対策

• Sitecoreが提供するセキュリティアドバイザリ（SC2025-005）を参照し、適切なパッチを速やかに適用してください。
• 現在使用しているすべての静的なmachineKey値を、新しく一意のキーに置き換えてください。Sitecoreの最新のデプロイでは、一意のmachineKeyが自動的に生成されるように更新されています。
• 米国サイバーセキュリティ・インフラストラクチャセキュリティ庁 (CISA) は、連邦行政機関に対して2025年9月25日までにSitecoreシステムを更新するよう義務付けています。

4.2 暫定回避策（緩和策）

• ASP.NET machineKey を定期的にローテーションしてください。
• システム設定を厳格にロックダウンし、不要な露出を避けてください。
• 環境内で侵害の兆候がないか定期的にスキャンを実施してください。
• Symantec Data Center Security (DCS) の侵入防止システム (IPS) デフォルトポリシーは、多層防御を提供し、本脆弱性に対するゼロデイ保護を複数層で提供します。
• 強化された防止ポリシーは、すべてのインバウンドおよびアウトバウンド接続をブロックすることで攻撃対象領域を削減し、機密ファイルの持ち出しやC2サーバーへの接続試行を阻止します。
• DCSのドメインコントローラー固有のポリシーは、Active Directory偵察の試みを阻止するのに役立ちます。

5. 他に解説すべき観点

• 設定ミスの重要性: この脆弱性は、ソフトウェアの技術的な欠陥ではなく、2017年以前の展開ガイドに記載されていたサンプルmachineKeyをそのまま使用してしまうという設定ミスに起因する点が特に重要です。これは、セキュリティ設定管理の徹底の必要性を示しています。
• ViewState関連攻撃の増加: 2025年に入り、ViewStateデシリアライゼーションを利用した攻撃が増加傾向にあります。同様の攻撃は、ConnectWiseやSharePointなど他の製品でも確認されています。
• 専門機関による対応: MandiantはSitecoreと直接協力してこの問題に対処しており、迅速なインシデント対応により、攻撃の全ライフサイクルを完全に観察する前に阻止しました。
• 高度な攻撃者の理解: 攻撃者は、初期サーバー侵害から特権昇格に至るまで、侵害された製品と悪用された脆弱性に対する深い理解を示しています。

参照したサイト

• Hadrian.io - CVE-2025-53690: Vulnerability in Sitecore leads to RCE
• Broadcom Inc. - CVE-2025-53690 - Deserialization of Untrusted Data vulnerability affecting multiple Sitecore products
• SecPod - WeepSteel Rises: Attackers Exploit Critical Sitecore Deserialization B
• Tenable® - CVE-2025-53690
• Google Cloud Blog - ViewState Deserialization Zero-Day Vulnerability in Sitecore Products (CVE-2025-53690)
• Security NEXT - 「Sitecore」や「Linuxカーネル」の脆弱性悪用に注意喚起 - 米当局
• SonicWall - Critical ViewState Deserialization Zero-Day in Sitecore (CVE-2025-53690)
• 資安人科技網 - 美國CISA下令緊急修補Sitecore重大漏洞! 已遭利用進行攻擊
• Sitecore製品でゼロデイ脆弱性CVE-2025-53690が悪用、サンプルキー使用で深刻な侵害被害
• JPCERT - 既知または弱いシークレットを設定したWebアプリケーションの改ざんリスクについて
• The Hacker News - CISA Orders Immediate Patch of Critical Sitecore Vulnerability Under Active Exploitation
• Sitecore Support Portal - Security Bulletins - セキュリティ情報 SC2025-005
• 腾讯云 - CVE-2025-53690：Sitecore远程代码执行漏洞分析与利用说明
• CSDN博客 - 攻击者利用Sitecore 零日漏洞（CVE-2025-53690）
• NIST - NVD-CVE-2025-53690
• Help Net Security - Sitecore zero-day vulnerability exploited by attackers (CVE-2025-53690)
• Google Cloud ブログ - 今すぐ確認してください: Sitecore ViewState Zero-Day の脆弱性 (CVE-2025-53690) 緊急対応ガイド
• サイバークリミナルマインド - ハッカー、Sitecoreのゼロデイ脆弱性を利用しバックドア設置