Trusted Design

CVE-2025-66644 の詳細

CVEの情報

説明:
Array Networks ArrayOS AG before 9.4.5.9 allows command injection, as exploited in the wild in August through December 2025.

CVE更新日: 2025-12-05 19:15:53.293000

CVSSバージョン: 3.1

CVSSスコア: 7.2

KEVの情報

KEV更新日: 2025-12-08

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.034150000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2025-66644に関する脆弱性調査結果を以下に解説します。

1. 脆弱性の概要

CVE-2025-66644は、Array Networksが提供するリモートアクセス製品「Array AGシリーズ」に搭載されている「ArrayOS AG」におけるOSコマンドインジェクションの脆弱性です。 攻撃者はこの脆弱性を悪用して、影響を受けるシステム上で任意のコマンドを実行する可能性があります。 この脆弱性は2025年8月から12月にかけて実環境で悪用が確認されています。

1.1 影響

本脆弱性が悪用された場合、攻撃者によって影響を受けるシステム上で任意のOSコマンドが実行される可能性があります。 これにより、アプライアンスの完全性、および保護されている可能性のある内部ネットワークセグメントに対して重大なリスクが生じます。 攻撃者は、システム上にPHPのウェブシェルを設置したり、新規ユーザーの作成を試みたり、内部ネットワークへの侵入を試みたりすることが確認されています。

1.2 深刻度

  • CVSS v3.1 Base Score: 9.8 (Critical)
  • CVSS v2 Base Score: 10.0 (Critical)
  • CISA Known Exploited Vulnerabilities (KEV) Catalog: 掲載済み
  • EPSS (Exploit Prediction Scoring System): 3.415% (全CVEの88パーセンタイルに位置し、悪用される可能性が高いことを示唆)

この脆弱性は、CISA（米サイバーセキュリティ・インフラセキュリティ庁）が「悪用が確認された脆弱性カタログ（KEV）」に追加しており、実際の攻撃で悪用されていることから、非常に深刻度が高いと評価されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

  • Array Networks ArrayOS AG バージョン 9.4.5.8 およびそれ以前のバージョン

2.2 影響を受ける設定

本脆弱性は、リモートデスクトップアクセス環境を提供する「DesktopDirect」機能が有効になっている場合に影響を受けます。

3. 影響を受けた時の兆候

以下のような兆候が確認される可能性があります。

  • システム上にPHPのウェブシェルが設置されている。
  • 身に覚えのない新規ユーザーが作成されている。
  • 内部ネットワークへの不審な通信や侵入の試み。
  • 特定の悪性IPアドレス（例: 194.233.100.138、37.19.205.178など）との通信が確認される。

4. 推奨対策

4.1 本対策

  • Array Networks ArrayOS AGをバージョン 9.4.5.9 以降にアップデートしてください。
    • Array Networksは2025年5月に本脆弱性を修正するバージョンをリリースしています。
    • 米国の連邦政府機関に対するCISAの修復期限は2025年12月29日とされています。

4.2 暫定回避策（緩和策）

製品開発者によると、次の回避策を適用することで本脆弱性の影響を軽減できるとされています。

  • DesktopDirect機能を使用していない場合は、すべてのDesktopDirectサービスを無効にする。
  • URLフィルターを使用して「;」を含むURLへのアクセスを拒否する。

注意点: アップデートを実施する際は、侵害調査のため、事前にログを保全することを推奨します。

他に解説すべき観点

  • 本脆弱性は、Array Networksが2025年5月に修正プログラムをリリースした当初はCVE番号が採番されていませんでした。 その後、2025年12月3日にJPCERT/CCが注意喚起を行い、その後CVE-2025-66644が採番されました。
  • JPCERT/CCおよびIPA（情報処理推進機構）は、日本国内で2025年8月以降に本脆弱性を悪用したと思われる攻撃が観測されているとして、注意喚起を行っています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る