「SugarCRM」脆弱性 - 9年前の修正にCVE番号

顧客管理ソフトウェア「SugarCRM」に脆弱性が明らかとなった。2016年に判明し、修正された脆弱性だが2025年に入り、CVE番号が採番されたという。

一部スクリプトにおいてパラメータの入力検証の不備があり、PHPオブジェクトを挿入できる脆弱性「CVE-2025-25034」が明らかとなったもの。

細工したデータを送信することで、認証を必要とすることなくリモートより任意のコードが実行できるという。2016年1月に修正されたが、その後対応が不十分であることが判明。同年7月に再度修正が行われた。

これら問題については、当時CVE番号が採番されておらず、2025年1月にCVE番号が採番され、6月にタイムラインが公開された。

共通脆弱性評価システム「CVSSv4.0」のベーススコアは「9.3」、重要度は4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。

脆弱性は「SugarCRM 7.7.1.0」「同7.6.2.2」「同7.5.2.5」「同6.7.13」「同6.5.24」にて修正済みだという。2016年の段階ですでに概念実証コードやエクスプロイトコードが公開されており、注意が必要となる。

（Security NEXT - 2025/06/23 ）ツイート