Trusted DesignCVE-2025-55177 の詳細
CVEの情報
説明:
Incomplete authorization of linked device synchronization messages in WhatsApp for iOS prior to v2.25.21.73, WhatsApp Business for iOS v2.25.21.78, and WhatsApp for Mac v2.25.21.78 could have allowed an unrelated user to trigger processing of content from an arbitrary URL on a target’s device. We assess that this vulnerability, in combination with an OS-level vulnerability on Apple platforms (CVE-2025-43300), may have been exploited in a sophisticated attack against specific targeted users.
CVE更新日: 2025-08-29 16:15:36.723000
CVSSバージョン: 3.1
CVSSスコア: 5.4
KEVの情報
KEV更新日: 2025-09-02
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.047340000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: medium
Automatable: False
CVE-2025-55177について、以下の観点で解説します。
1. 脆弱性の概要
CVE-2025-55177は、WhatsAppのリンクされたデバイスの同期メッセージにおける不完全な認証の脆弱性です。この認証バイパスの欠陥により、無関係なユーザーがターゲットデバイス上で任意のURLからのコンテンツ処理を検証なしでトリガーすることを可能にします。この脆弱性はゼロクリック型であり、被害者の操作なしに悪用される可能性があります。
1.1 影響 この脆弱性が悪用されると、攻撃者はターゲットデバイス上で悪意のあるコンテンツを処理させることができます。特に、Appleプラットフォーム上のOSレベルの脆弱性（CVE-2025-43300）と組み合わせて悪用された場合、リモートでのコード実行やデバイスの完全な侵害（スパイウェアのインストールや永続的な監視を含む）につながる可能性があります。 この脆弱性は、特定のユーザーを標的とした高度なスパイウェアキャンペーンの一部として実際に悪用されていることが確認されています。
1.2 深刻度 CVE-2025-55177のCVSS v3.1基本スコアは5.4で、「中程度」と評価されています。 しかし、CISAの既知の悪用された脆弱性カタログに掲載されており、ゼロクリックの性質と他の脆弱性との連携による潜在的な影響を考慮すると、「重大な影響」または「高深刻度」と見なされる場合もあります。
2. 対象となる環境
2.1 影響を受けるOSバージョン この脆弱性の影響を受けるWhatsAppのバージョンは以下の通りです。 * iOS版WhatsApp：v2.25.21.73より前のバージョン * iOS版WhatsApp Business：v2.25.21.78より前のバージョン * Mac版WhatsApp：v2.25.21.78より前のバージョン
また、この脆弱性はCVE-2025-43300と組み合わせて悪用されることが多く、このCVEはAppleのiOS、iPadOS、およびmacOSに影響を与えます。
2.2 影響を受ける設定 この脆弱性は、WhatsAppのリンクされたデバイスの同期プロトコルにおける不完全な認証ロジックに起因します。 脆弱性のあるバージョンのWhatsAppアプリケーションを使用していることが、影響を受ける主要な設定です。
3. 影響を受けた時の兆候
以下のような兆候が影響を受けた可能性を示唆する場合があります。 * WhatsAppから不明または疑わしい外部URLへの予期せぬネットワーク接続 * 正当なデバイスのペアリングが行われていないにもかかわらず、通常とは異なるリンクされたデバイスの同期アクティビティ * 同期メッセージ処理に関連するWhatsAppのクラッシュログやエラーメッセージ * 同じデバイス上でCVE-2025-43300が悪用された形跡
4. 推奨対策
4.1 本対策 以下のバージョンにWhatsAppを速やかにアップデートしてください。 * iOS版WhatsApp：v2.25.21.73以降 * iOS版WhatsApp Business：v2.25.21.78以降 * Mac版WhatsApp：v2.25.21.78以降
また、Appleプラットフォーム上のOSレベルの脆弱性（CVE-2025-43300）に対処するため、利用可能なすべてのiOSおよびmacOSのセキュリティアップデートを適用することが強く推奨されます。
4.2 暫定回避策（緩和策） * WhatsAppの設定を確認し、認識できないリンクされたデバイスをすべて削除してください。 * デバイスが侵害されたと疑われる場合は、完全な工場出荷時リセットを実行することが推奨されます。 * 幹部やその他のリスクの高いスタッフ向けに、iOSの「ロックダウンモード」を有効にすることを検討してください。
その他解説すべき観点
参照したサイト