「SugarCRM」脆弱性 - 9年前の修正にCVE番号
顧客管理ソフトウェア「SugarCRM」に脆弱性が明らかとなった。2016年に判明し、修正された脆弱性だが2025年に入り、CVE番号が採番されたという。
一部スクリプトにおいてパラメータの入力検証の不備があり、PHPオブジェクトを挿入できる脆弱性「CVE-2025-25034」が明らかとなったもの。
細工したデータを送信することで、認証を必要とすることなくリモートより任意のコードが実行できるという。2016年1月に修正されたが、その後対応が不十分であることが判明。同年7月に再度修正が行われた。
これら問題については、当時CVE番号が採番されておらず、2025年1月にCVE番号が採番され、6月にタイムラインが公開された。
共通脆弱性評価システム「CVSSv4.0」のベーススコアは「9.3」、重要度は4段階中もっとも高い「クリティカル(Critical)」とレーティングされている。
脆弱性は「SugarCRM 7.7.1.0」「同7.6.2.2」「同7.5.2.5」「同6.7.13」「同6.5.24」にて修正済みだという。2016年の段階ですでに概念実証コードやエクスプロイトコードが公開されており、注意が必要となる。
(Security NEXT - 2025/06/23 )
ツイート
関連リンク
PR
関連記事
「Apache httpd」にSSRFやセッションハイジャックなど複数脆弱性
「Apache Tomcat」にアップデート - 複数脆弱性を修正
SAP、月例アドバイザリ31件を公開 - 「クリティカル」6件
米当局、「Citrix Bleed 2」の悪用に注意喚起
ビデオ会議のZoom、クライアントの複数脆弱性を解消
脆弱性4件を修正、「rsync」の深刻な脆弱性も解消 - GitLab
「PAN-OS」「GlobalProtect App」など複数製品の脆弱性を解消 - Palo Alto
「EPM」や「EPMM」などIvanti複数製品に脆弱性 - 悪用は未確認
Adobe製フォーム作成管理ツールに悪用リスク高い脆弱性
「Adobe ColdFusion」に深刻な脆弱性 - 緊急アップデートを