ISSコラム

CVE-2025-43300（Apple iOS/iPadOS/macOSのImageIOの脆弱性）〔重要度：高〕

Apple製品の画像処理フレームワークImageIOに存在する境界外書き込みの欠陥による脆弱性です。この脆弱性の悪用により細工された画像ファイルの処理でメモリ破損が生じ、任意コード実行に至る可能性があります。Apple社は8月20日にこの脆弱性を修正する緊急アップデート（iOS/iPadOS 18.6.2など）を公開し、高度な標的型攻撃でこの脆弱性が実際に悪用されていたことを認めました 。米国CISAもこの脆弱性を既知の悪用可能な脆弱性カタログに追加し、迅速な対応を呼びかけています 。なお、現時点（8月20日）で一般公開されたPoCやエクスプロイトコードは確認されていません。

CVE-2025-53770（“ToolShell”と呼ばれるMicrosoft SharePoint ServerのRCE）〔重要度：高〕

Cisco Secure Firewall Management Center (FMC)に存在するRADIUS認証処理の不備によるコマンドインジェクション脆弱性です。認証前のリモートから詐術した認証情報を送信することで、管理者権限で任意のシェルコマンドを実行される恐れがあります 。評価スコアはCVSS 10.0（最高深刻度）に達しており影響範囲も広範です 。8月14日にCiscoから修正アップデートが公開されましたが、本脆弱性はRADIUS認証を有効にしている環境でのみ悪用可能で、現在までに実際の悪用報告はなく、公開されたPoCコードも確認されていません。しかしながら、重大度の高さから脅威アクターに狙われる可能性が極めて高いため早急なアップデート適用が推奨されています 。なお、Ciscoは代替策として一時的にRADIUS認証を無効化する回避策を提示しています 。

CVE-2025-31324 / CVE-2025-42999（SAP NetWeaver Visual Composerの認証欠如＋デシリアライズの脆弱性）〔重要度：高〕

SAP NetWeaver Visual Composerに存在する2つの連携した致命的欠陥で、未認証での機能アクセスとデシリアライズによるRCEを組み合わせることで、SAPシステム上で任意コード実行および完全なシステム支配が可能となります 。これらの脆弱性はCVSS 10.0および9.1と評価され、2025年4～5月にSAP社からパッチが提供済みでしたが、パッチ適用前の環境に対して今年7月頃から複数の高度な攻撃グループによりゼロデイ攻撃されていました 。8月15日には攻撃者集団「Scattered LAPSUS$ Hunters – ShinyHunters」により本脆弱性を標的とした武器化エクスプロイトコードが公開され、VX Underground（Xのアカウント）経由で拡散されています 。脆弱性公開後は攻撃がさらに増加すると予想されており、SAP社は顧客に対し直ちに最新パッチの適用とシステムのスキャンによる侵害調査を強く呼びかけています 。

CVE-2025-53786（Microsoft Exchangeハイブリッド環境の権限昇格脆弱性）〔重要度：中〕

ハイブリッド構成のMicrosoft Exchange Serverに存在する認証後の脆弱性で、オンプレExchangeからクラウドのExchange Online環境へ横展開される恐れのある深刻な欠陥です。攻撃者が既にオンプレExchange管理者権限を持つ場合にこの欠陥を利用してクラウド側でもドメイン管理者に近い権限を得られる可能性があります。CISAは8月7日に本脆弱性（CVE-2025-53786）に対し緊急指令 (Emergency Directive) 25-02を発出し、連邦機関に週末までの緊急パッチ適用を命じました 。未対策の場合「ハイブリッド環境全体のドメイン乗っ取り」に繋がり得ると警告されています 。本脆弱性自体のCVSS公表値は不明（Microsoft評価でHigh）ですが、悪用には事前にオンプレExchange管理者権限の認証が必要であることから現時点では攻撃報告はありません。ただしリスクは重大であり、依然約29,000台のExchangeサーバーが未パッチで公開されているとの調査報告もあり、早急な対策が求められますが、影響範囲が限定的な点を踏まえ重要度は中程度と評価できます。

CVE-2025-53783（Microsoft Teamsのリモートコード実行脆弱性）〔重要度：低〕

Microsoft Teamsにおけるヒープバッファオーバーフローの脆弱性で、悪用されるとユーザーのTeamsメッセージやデータの読み書き・削除といった操作や任意コード実行が可能になる恐れがあります 。CVSS3.1スコアは7.5でMicrosoftのレーティングでは“Important”に分類されています 。しかし、攻撃には複雑な手順やユーザーの操作（悪意あるリンクのクリック等）が必要であり、公開時点で情報の非公開・悪用事例も確認されていません 。Microsoftは8月の月例パッチで本脆弱性に対処済みで、現状では緊急性は相対的に低いと評価できます。ただし、コラボレーションプラットフォームの脆弱性は波及効果が大きい可能性があるため、利用企業は早期にパッチを適用し注意を払うことが推奨されます。

本コラムについて

インターネットセキュアサービス㈱（以下、ISS）が提供する脆弱性情報は、全ての脆弱性情報を対象にせず、ISSが次の基準で判断しています。

・インターネット上で悪用が確認されている脆弱性

・CVEスコアが低くても対応が必要と判断した脆弱性

・ISSが対応したインシデントの経験から危険性が高いと判断される脆弱性

なお、記載内容は全てを保証するものではありません。

ISSは、皆様のセキュリティ対策のお役に立つ情報を積極的に発信してまいります。