Trusted DesignCVE-2026-25108 の詳細
CVEの情報
説明:
FileZen contains an OS command injection vulnerability. When FileZen Antivirus Check Option is enabled, a logged-in user may send a specially crafted HTTP request to execute an arbitrary OS command.
CVE更新日: 2026-02-13 04:15:53.410000
CVSSバージョン: 4.0
CVSSスコア: 8.7
KEVの情報
KEV更新日: 2026-02-24
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.083700000
EPSS更新日: 2026-06-01 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: low
Automatable: False
CVE-2026-25108に関する調査結果を以下に解説します。
1. 脆弱性の概要
Soliton Systems社が提供するファイル転送アプライアンス「FileZen」に存在するOSコマンドインジェクションの脆弱性です。ファイル処理中にAntivirus Check Option (ウイルスチェック機能) が有効な場合、認証されたユーザーが特別に細工されたHTTPリクエストを送信することで、任意のOSコマンドを実行する可能性があります。この脆弱性はCISAのKnown Exploited Vulnerabilities (KEV) カタログに追加されており、現在積極的に悪用されていることが確認されています。
1.1 影響
本脆弱性が悪用されると、攻撃者はFileZenアプライアンス上で任意のOSコマンドを、FileZenアプリケーションが持つ権限で実行できます。これにより、機密性の高いデータへの不正アクセス、データ改ざん、システムの完全な侵害、さらには運用の中断やサービス拒否につながる可能性があります。Soliton Systems社は、この脆弱性の悪用によるデータ侵害の報告を少なくとも1件受けていると確認しています。
1.2 深刻度
CVSS v3.1スコアは8.8（High）、CVSS v4.0スコアは8.7（High）と評価されています。 これは、機密性、完全性、可用性のいずれにも重大な影響を及ぼす可能性を示しています。
2. 対象となる環境
2.1 影響を受けるOSバージョン
FileZenの以下のバージョンが本脆弱性の影響を受けます。具体的なOSバージョンではなく、FileZen製品のバージョンが対象です。 * FileZen Versions 4.2.1 から 4.2.8 * FileZen Versions 5.0.0 から 5.0.10
なお、FileZen Sは本脆弱性の影響を受けません。
2.2 影響を受ける設定
以下の二つの条件が揃った場合にのみ、本脆弱性は悪用可能です。 * FileZenのAntivirus Check Option (ウイルスチェック機能、BitDefenderベース) が有効になっていること。 * 攻撃者がFileZenのウェブインターフェースへの有効なログイン認証情報（一般ユーザー権限で十分）を持っていること。
3. 影響を受けた時の兆候
影響を受けた可能性のある兆候としては、以下の点が挙げられます。 * FileZenのHTTPログに、通常とは異なるシェル構文や予期しないアウトバウンド接続が記録されている。 * システムディレクトリのファイルが改ざんされた形跡がログに残っている。 * 侵害されたアカウントを使用した不正なログインや、不審な認証パターン、異常なHTTPリクエストが確認される。
4. 推奨対策
4.1 本対策
4.2 暫定回避策（緩和策）
5. その他解説すべき観点
参照したサイト