Trusted DesignCVE-2025-6205 の詳細
CVEの情報
説明:
A missing authorization vulnerability affecting DELMIA Apriso from Release 2020 through Release 2025 could allow an attacker to gain privileged access to the application.
CVE更新日: 2025-08-04 10:15:28.057000
CVSSバージョン: 3.1
CVSSスコア: 9.1
KEVの情報
KEV更新日: 2025-10-28
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.737520000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: True
CVE-2025-6205について、以下の観点で解説します。
1. 脆弱性の概要
Dassault Systèmes DELMIA Aprisoに影響を与える認証の欠如の脆弱性です。攻撃者はこの脆弱性を悪用して、アプリケーションへの特権アクセスを取得する可能性があります。
1.1 影響
攻撃者がアプリケーションへの特権アクセスを取得し、システムが侵害される可能性があります。
1.2 深刻度
CVSS v3.1ベーススコアは9.1で、「Critical（緊急）」と評価されています。CVSS v2.0ベーススコアは9.4で「High」と評価されています。 この脆弱性は実際に悪用されており、2025年10月28日にCISAの既知の悪用されている脆弱性（KEV）カタログに追加されました。EPSS（Exploit Prediction Scoring System）は、2025年10月28日時点で、今後30日間に攻撃試行が見られる可能性を73%と推定しており、これは既知の脆弱性の99%を上回るランクです。2026年6月17日時点では、EPSSは69.17%と推定しています。
2. 対象となる環境
対象製品
Dassault Systèmes DELMIA Apriso。
影響を受けるバージョン
DELMIA Apriso リリース 2020 から リリース 2025。
2.1 影響を受けるOSバージョン
不明。この脆弱性は特定のOSバージョンではなく、DELMIA Aprisoアプリケーション自体に影響を与えます。
2.2 影響を受ける設定
不明。認証の欠如の脆弱性であるため、特定の誤った設定ではなく、アプリケーションの設計上の問題またはデフォルト設定に関連している可能性があります。
3. 影響を受けた時の兆候
この脆弱性は攻撃者に特権アクセスを許可するため、通常では許可されないユーザーによるDELMIA Aprisoアプリケーション内での異常なアクティビティが兆候として考えられます。
4. 推奨対策
4.1 本対策
ベンダーからの指示に従い、パッチを適用することが推奨されます。ただし、2025年10月28日時点では「パッチのリファレンスはまだ公開されていない」という情報もあります。ベンダーのセキュリティアドバイザリチャネルで、パッチが適用されたDELMIA Aprisoのバージョンと回避策を確認してください。
4.2 暫定回避策（緩和策）
ベンダーの指示に従って緩和策を適用するか、クラウドサービスに適用されるBOD 22-01ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止することが推奨されます。 米国の連邦政府機関は、2025年11月18日までにこの脆弱性に対処することが義務付けられていました。
他に解説すべき観点
参照したサイト