レッドチーム向け脅威テストツール「MITRE Caldera」に深刻な脆弱性

レッドチーム演習などで活用されている脅威の模擬テストプラットフォーム「MITRE Caldera」に深刻な脆弱性が明らかとなった。

「Calderaサーバ」のエージェントを動的にコンパイルするリバースシェル機能にコマンドインジェクションの脆弱性「CVE-2025-27364」が確認されたもの。

細工したウェブリクエストをサーバの「API」に送信することで、リモートよりコードの実行が可能になる。ほとんどのデフォルト構成が影響を受けると見られる。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは、最高値である「10.0」、重要度は4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。

同脆弱性は、現地時間2025年2月25日に公開された「Caldera 5.1.0」にて修正された。開発チームでは最新版へのアップデートを推奨している。

すでに脆弱性の詳細や、そのままでは動作しないよう手が加えられた概念実証コード（PoC）が公開されている。「Metasploit」のモジュールについても近日中にリリースされる予定。パッチの適用だけでなく、インターネット上へインスタンスを公開しないよう注意を呼びかけている。

（Security NEXT - 2025/02/26 ）ツイート