「Progress Flowmon」に脆弱性 - 10月の複数アップデートで修正

Progress Software（旧Kemp Technologies）のネットワーク監視ツール「Progress Flowmon」に複数の脆弱性が明らかとなった。2025年10月にリリースした2度のアップデートを通じて修正している。

クロスサイトスクリプティング（XSS）の脆弱性「CVE-2025-10240」や、OSコマンドインジェクションの脆弱性「CVE-2025-10239」、権限昇格の脆弱性「CVE-2025-11906」が明らかとなったもの。

「CVE-2025-10240」は、認証済みのセッションにおいて利用者が細工されたリンクをクリックすると、意図しない操作が実行されるおそれがある。共通脆弱性評価システム「CVSSv3.1」のベーススコアは「8.8」と評価されている。

一方「CVE-2025-10239」は、管理者権限が必要となるが、トラブルシューティング用スクリプトを通じて任意のコマンドを実行可能となる。「CVSSv3.1」のベーススコアは「7.2」だが、「CVSSv4.0」の場合は「8.6」となる。

また「CVE-2025-11906」は、システム構成ファイルにおいて誤ったファイル権限が設定されている脆弱性。SSHアクセスに使用される同製品のデフォルトシステムユーザーアカウントにアクセスできる場合、サービスの初期化中にroot権限を取得できるという。CVSS基本値は不明。

（Security NEXT - 2025/11/05 ）ツイート