Trusted DesignCVE-2025-8875 の詳細
CVEの情報
説明:
Deserialization of Untrusted Data vulnerability in N-able N-central allows Local Execution of Code.This issue affects N-central: before 2025.3.1.
CVE更新日: 2025-08-14 15:15:43.020000
CVSSバージョン: 4.0
CVSSスコア: 9.4
KEVの情報
KEV更新日: 2025-08-13
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.018990000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: low
Automatable: False
CVE-2025-8875は、N-able N-centralのリモート監視および管理（RMM）プラットフォームに影響を与える、深刻な脆弱性です。この脆弱性は、CISAの既知の悪用されている脆弱性（KEV）カタログに追加されており、活発な悪用が確認されています。
1. 脆弱性の概要
CVE-2025-8875は、N-able N-centralにおける信頼できないデータの逆シリアル化の脆弱性であり、リモートからのコード実行を可能にします。この脆弱性は、アプリケーションが不正なシリアル化されたデータを不適切に処理することに起因します。攻撃者は、特別に細工されたペイロードを注入し、アプリケーションの逆シリアル化プロセス中に任意のコードを実行する可能性があります。これにより、システム全体の侵害や、管理されているエンドポイントへの横断的な移動につながる可能性があります。
1.1 影響
この脆弱性が悪用されると、攻撃者はN-centralアプリケーションの権限で任意のコードを実行できる可能性があります。これは、管理対象デバイスへのアクセス、認証情報の窃盗、管理対象インフラ全体へのマルウェアの展開など、壊滅的な結果を招く可能性があります。 N-able N-centralは、マネージドサービスプロバイダー（MSP）によって顧客のシステムを監視・維持するために使用されるため、その影響は広範囲に及ぶ可能性があります。
1.2 深刻度
Rapid7によると、CVSS 4.0のベーススコアは9.4（Critical）であり、CVSS 3.1のベーススコアは7.8と評価されています。 この脆弱性は、CISAのKEVカタログに「活発な悪用が確認されている」として記載されており、CVSSスコアだけでは評価できない重大なリスクを示しています。
2. 対象となる環境
2.1 影響を受けるOSバージョン
この脆弱性は、特定のOSバージョンではなく、N-able N-centralのバージョンに影響を与えます。影響を受けるのは、N-able N-centralのバージョン2025.3.1より前のものです。
2.2 影響を受ける設定
N-able N-centralのオンプレミス環境に影響があり、N-ableがホストするクラウド環境では悪用の証拠は見られていません。 この脆弱性を悪用するには、攻撃者に認証情報（有効なアカウント資格情報）が必要です。
3. 影響を受けた時の兆候
N-ableは、限定された数のオンプレミス環境でこの種の悪用の証拠を確認しています。 具体的な兆候については明記されていませんが、リモートコード実行の特性上、異常なシステム動作、不審なプロセス、予期せぬネットワーク接続などが兆候として考えられます。
4. 推奨対策
4.1 本対策
N-able N-centralのバージョン2025.3.1または2024.6 HF2へのアップグレードが推奨されます。 これらのバージョンには、脆弱性に対処するためのセキュリティパッチが含まれています。
4.2 暫定回避策（緩和策）
参照したサイト