CVE詳細 - CVE-2025-54253-

CVE-2025-54253 の詳細

CVEの情報

説明:
Adobe Experience Manager versions 6.5.23 and earlier are affected by a Misconfiguration vulnerability that could result in arbitrary code execution. An attacker could leverage this vulnerability to bypass security mechanisms and execute code. Exploitation of this issue does not require user interaction and scope is changed.

CVE更新日: 2025-08-05 17:15:29.283000

CVSSバージョン: 3.1

CVSSスコア: 10.0

KEVの情報

KEV更新日: 2025-10-15

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.882620000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

Adobe Experience Manager Forms に影響を及ぼす脆弱性 CVE-2025-54253 について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2025-54253 は、Adobe Experience Manager (AEM) Forms on JEE に存在する認証バイパスを伴う設定ミスに起因する深刻な脆弱性です。この脆弱性を悪用されると、攻撃者は認証なしで任意のコードをリモートで実行できる可能性があります。

本脆弱性は、Adobe Experience Manager Forms の「Struts DevMode」機能が本番環境で不適切に公開されていること、および /adminui/debug サーブレットがユーザー提供の OGNL (Object-Graph Navigation Language) 式を認証や入力検証なしに Java コードとして評価することに起因します。これにより、攻撃者は細工された HTTP リクエストを通じて任意のシステムコマンドを実行できます。

1.1 影響

この脆弱性が悪用された場合、認証されていない攻撃者がネットワーク経由で脆弱な Adobe Experience Manager Forms インスタンスにアクセスし、システム上で任意のコードを実行することが可能になります。攻撃者は機密ファイルへのアクセス、サーバーの完全な制御、データ侵害、サービス妨害を引き起こす可能性があります。ユーザーの操作は不要で、攻撃はネットワークベースで実行されます。

1.2 深刻度

CVE-2025-54253 の深刻度は、CVSSv3.1 スコアで最高値の 10.0 と評価されており、「クリティカル (Critical)」に分類されます。これは、悪用の複雑度が低く、ユーザーの操作が不要であるため、非常に危険な脆弱性であるとされています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は特定のOSバージョンに限定されるものではなく、Adobe Experience Manager Forms on JEE のバージョン 6.5.23 およびそれ以前のバージョンに影響を与えます。

2.2 影響を受ける設定

本脆弱性は、Adobe Experience Manager Forms の設定ミスに起因します。特に、開発環境向けに設計された「Struts DevMode」機能が、本番環境のデプロイメントで適切に無効化されずに公開されている場合に影響を受けます。また、/adminui/debug サーブレットが認証や入力検証なしに OGNL 式を評価することが根本原因です。

研究者によると、この脆弱性は主に J2EE 互換サーバー（JBossなど）を介して AEM Forms をスタンドアロンでデプロイした場合に適用されます。

3. 影響を受けた時の兆候

影響を受けた際の具体的な兆候は参照元の情報に明示されていませんが、一般的にリモートコード実行の被害を受けた場合、以下のような兆候が考えられます。

システムパフォーマンスの異常な低下
不審なネットワーク通信の発生
意図しないファイルの作成、変更、削除
不明なプロセスやサービスが実行されている
ウェブサイトの改ざんや不審なコンテンツの表示
サーバーのログに不審なエラーやアクセス記録が残る

4. 推奨対策

4.1 本対策

Adobeは、この脆弱性に対処するためにセキュリティアップデートをリリースしています。 Adobe Experience Manager Forms を最新のパッチ適用済みバージョンにアップグレードすることが強く推奨されます。具体的には、AEM Forms on JEE バージョン 6.5.0-0108 またはそれ以降へのアップデートが必要です。

Adobeセキュリティアドバイザリ APSB25-82 に記載されている最新のパッチを適用してください。

4.2 暫定回避策（緩和策）

Struts DevMode を無効化する: すべてのプロダクション AEM Forms 設定で Struts DevMode が明示的に無効になっていることを確認してください。
ネットワークアクセスの制限: AEM Forms インスタンスへのネットワークアクセスを信頼できるクライアントに限定し、インターネットからの直接アクセスを制限または遮断することを推奨します。
ログの監視: 不審な活動がないか、システムのログを継続的に監視してください。
WAF (Web Application Firewall) の導入: AppTrana のような Web アプリケーションおよび API 保護 (WAAP) ソリューションは、悪意のあるペイロードをブロックし、パッチが適用されるまでの間、リアルタイムで保護を提供できます。
レガシー機能の削除または制限: デバッグ機能の公開など、レガシー機能の削除または制限、継続的な監視、および防御的なコーディングプラクティスが必須です。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る