メールセキュ製品「Libraesva ESG」に脆弱性 - すでに悪用も、国家関与か

Libraesvaが提供するメールセキュリティ対策製品「Libraesva Email Security Gateway（ESG）」に脆弱性が明らかとなった。細工した添付ファイルを通じて攻撃が可能としており、すでに悪用が確認されている。

同製品は、送受信されるメールトラフィックを検証し、スパムをはじめ、フィッシング攻撃やマルウェアメール、ビジネスメール詐欺（BEC）などのフィルタリング機能を提供しているセキュリティ製品。

現地時間2025年9月19日にセキュリティアドバイザリを公開し、脆弱性「CVE-2025-59689」について明らかにするとともにアップデートを呼びかけた。「同4.5」以降が影響を受ける。

ファイル内のコードを除去するサニタイズ処理に不備が存在。メールに添付された特定形式の圧縮ファイルを処理すると脆弱性が悪用され、ユーザー権限で任意のコマンドを実行されるおそれがある。

MITREによる共通脆弱性評価システム「CVSSv3.1」のベーススコアは「6.1」、重要度は「中（Medium）」とされるが、すでに国家より支援を受けたと見られる攻撃者により悪用された事例が確認されているという。

（Security NEXT - 2025/09/30 ）ツイート