JVNDB-2025-000064

[English]
JVNDB-2025-000064
SS1における複数の脆弱性
概要
株式会社ディー・オー・エスが提供するSS1には、次の複数の脆弱性が存在します。不十分な暗号強度（CWE-326）- CVE-2025-46409 外部からアクセス可能なファイルまたはディレクトリ（CWE-552）- CVE-2025-52460 重要なリソースに対する不適切なアクセス権の割り当て（CWE-732）- CVE-2025-53396 アップロードするファイルの検証が不十分（CWE-434）- CVE-2025-53970、CVE-2025-54762 パストラバーサル（CWE-22）- CVE-2025-54819、CVE-2025-58072 ハードコードされたパスワードの使用（CWE-259）- CVE-2025-58081 CVE-2025-46409、CVE-2025-52460、CVE-2025-53970、CVE-2025-54762、CVE-2025-54819 この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方がIPAに報告し、JPCERT/CCが開発者との調整を行いました。報告者：GMOサイバーセキュリティ byイエラエ株式会社ルスランサイフィエフ氏、デニスファウストヴ氏、川田柾浩氏 CVE-2025-53396、CVE-2025-58072、CVE-2025-58081 この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方がIPAに報告し、JPCERT/CCが開発者との調整を行いました。報告者：GMOサイバーセキュリティ byイエラエ株式会社川田柾浩氏
CVSS による深刻度 (CVSS とは?)
CVSS v3 による深刻度基本値: 9.8 (緊急) [IPA値] 攻撃元区分: ネットワーク攻撃条件の複雑さ: 低攻撃に必要な特権レベル: 不要利用者の関与: 不要影響の想定範囲: 変更なし機密性への影響(C): 高完全性への影響(I): 高可用性への影響(A): 高
CVSS v4 による深刻度基本値: 9.3 (緊急) [IPA値] 攻撃元区分 (AV): ネットワーク攻撃の複雑さ (AC): 低攻撃要件 (AT): なし攻撃に必要な特権レベル (PR): 不要利用者の関与 (UI): なし脆弱なシステムへの影響機密性の影響 (VC): 高完全性の影響 (VI): 高可用性への影響 (VA): 高後続システムへの影響機密性への影響 (SC): なし完全性への影響 (SI): なし可用性への影響 (SA): なし ※上記は、CVE-2025-53970、CVE-2025-54762の評価になります。
CVSS v3 による深刻度基本値: 7.5 (重要) [IPA値] 攻撃元区分: ネットワーク攻撃条件の複雑さ: 低攻撃に必要な特権レベル: 不要利用者の関与: 不要影響の想定範囲: 変更なし機密性への影響(C): 高完全性への影響(I): なし可用性への影響(A): なし
CVSS v4 による深刻度基本値: 8.7 (重要) [IPA値] 攻撃元区分 (AV): ネットワーク攻撃の複雑さ (AC): 低攻撃要件 (AT): なし攻撃に必要な特権レベル (PR): 不要利用者の関与 (UI): なし脆弱なシステムへの影響機密性の影響 (VC): 高完全性の影響 (VI): なし可用性への影響 (VA): なし後続システムへの影響機密性への影響 (SC): なし完全性への影響 (SI): なし可用性への影響 (SA): なし ※上記は、CVE-2025-46409の評価になります。
CVSS v3 による深刻度基本値: 7.5 (重要) [IPA値] 攻撃元区分: ネットワーク攻撃条件の複雑さ: 低攻撃に必要な特権レベル: 不要利用者の関与: 不要影響の想定範囲: 変更なし機密性への影響(C): 高完全性への影響(I): なし可用性への影響(A): なし
CVSS v4 による深刻度基本値: 8.7 (重要) [IPA値] 攻撃元区分 (AV): ネットワーク攻撃の複雑さ (AC): 低攻撃要件 (AT): なし攻撃に必要な特権レベル (PR): 不要利用者の関与 (UI): なし脆弱なシステムへの影響機密性の影響 (VC): 高完全性の影響 (VI): なし可用性への影響 (VA): なし後続システムへの影響機密性への影響 (SC): なし完全性への影響 (SI): なし可用性への影響 (SA): なし ※上記は、CVE-2025-58072の評価になります。
CVSS v3 による深刻度基本値: 7.5 (重要) [IPA値] 攻撃元区分: ネットワーク攻撃条件の複雑さ: 低攻撃に必要な特権レベル: 不要利用者の関与: 不要影響の想定範囲: 変更なし機密性への影響(C): 高完全性への影響(I): なし可用性への影響(A): なし
CVSS v4 による深刻度基本値: 8.7 (重要) [IPA値] 攻撃元区分 (AV): ネットワーク攻撃の複雑さ (AC): 低攻撃要件 (AT): なし攻撃に必要な特権レベル (PR): 不要利用者の関与 (UI): なし脆弱なシステムへの影響機密性の影響 (VC): 高完全性の影響 (VI): なし可用性への影響 (VA): なし後続システムへの影響機密性への影響 (SC): なし完全性への影響 (SI): なし可用性への影響 (SA): なし ※上記は、CVE-2025-58081の評価になります。
CVSS v3 による深刻度基本値: 7.0 (重要) [IPA値] 攻撃元区分: ローカル攻撃条件の複雑さ: 高攻撃に必要な特権レベル: 低利用者の関与: 不要影響の想定範囲: 変更なし機密性への影響(C): 高完全性への影響(I): 高可用性への影響(A): 高
CVSS v4 による深刻度基本値: 7.3 (重要) [IPA値] 攻撃元区分 (AV): ローカル攻撃の複雑さ (AC): 低攻撃要件 (AT): 存在攻撃に必要な特権レベル (PR): 低利用者の関与 (UI): なし脆弱なシステムへの影響機密性の影響 (VC): 高完全性の影響 (VI): 高可用性への影響 (VA): 高後続システムへの影響機密性への影響 (SC): なし完全性への影響 (SI): なし可用性への影響 (SA): なし ※上記は、CVE-2025-53396の評価になります。
CVSS v3 による深刻度基本値: 6.5 (警告) [IPA値] 攻撃元区分: ネットワーク攻撃条件の複雑さ: 低攻撃に必要な特権レベル: 低利用者の関与: 不要影響の想定範囲: 変更なし機密性への影響(C): なし完全性への影響(I): 高可用性への影響(A): なし
CVSS v4 による深刻度基本値: 7.1 (重要) [IPA値] 攻撃元区分 (AV): ネットワーク攻撃の複雑さ (AC): 低攻撃要件 (AT): なし攻撃に必要な特権レベル (PR): 低利用者の関与 (UI): なし脆弱なシステムへの影響機密性の影響 (VC): なし完全性の影響 (VI): 高可用性への影響 (VA): なし後続システムへの影響機密性への影響 (SC): なし完全性への影響 (SI): なし可用性への影響 (SA): なし ※上記は、CVE-2025-54819の評価になります。
CVSS v3 による深刻度基本値: 5.3 (警告) [IPA値] 攻撃元区分: ネットワーク攻撃条件の複雑さ: 低攻撃に必要な特権レベル: 不要利用者の関与: 不要影響の想定範囲: 変更なし機密性への影響(C): 低完全性への影響(I): なし可用性への影響(A): なし
CVSS v4 による深刻度基本値: 6.9 (警告) [IPA値] 攻撃元区分 (AV): ネットワーク攻撃の複雑さ (AC): 低攻撃要件 (AT): なし攻撃に必要な特権レベル (PR): 不要利用者の関与 (UI): なし脆弱なシステムへの影響機密性の影響 (VC): 低完全性の影響 (VI): なし可用性への影響 (VA): なし後続システムへの影響機密性への影響 (SC): なし完全性への影響 (SI): なし可用性への影響 (SA): なし ※上記は、CVE-2025-52460の評価になります。
影響を受けるシステム

株式会社ディー・オー・エス SS1 Ver.16.0.0.10 およびそれ以前（メディアバージョン：16.0.0a およびそれ以前）（CVE-2025-46409、CVE-2025-52460、CVE-2025-53396、CVE-2025-53970、CVE-2025-54762、CVE-2025-54819、CVE-2025-58072、CVE-2025-58081） SS1 クラウド Ver.2.1.3 およびそれ以前（CVE-2025-52460、CVE-2025-53970、CVE-2025-54819、CVE-2025-58072）
なお、開発者によるとCVE-2025-52460、CVE-2025-53970、CVE-2025-54762はWindows環境のみ、CVE-2025-53396、CVE-2025-58072、CVE-2025-58081はMacOS環境でのみ影響を受けるとのことです。
想定される影響
想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。遠隔の第三者によって、認証が必要な機能にアクセスされる（CVE-2025-46409）遠隔の第三者によって、アップロードされたファイルやSS1の構成ファイルにアクセスされる（CVE-2025-52460）クライアント端末にログイン可能なユーザーによって、root権限へ昇格される（CVE-2025-53396）任意のファイルをアップロードされ、SYSTEM権限で任意のOSコマンドを実行される（CVE-2025-53970、CVE-2025-54762）遠隔の第三者によって、正規のファイルを上書きされる（CVE-2025-54819）遠隔の第三者によって、任意のファイルを閲覧される（CVE-2025-58072）遠隔の第三者によって、root権限で任意のファイルを閲覧される（CVE-2025-58081）
対策
[アップデートする] 開発者が提供する情報をもとに、最新版へアップデートしてください。
ベンダ情報
株式会社ディー・オー・エス株式会社ディー・オー・エス : 弊社製品「SS1」「SS1クラウド」の脆弱性に関するお知らせ
CWEによる脆弱性タイプ一覧 CWEとは?
パス・トラバーサル(CWE-22) [IPA評価] その他(CWE-Other) [IPA評価]
共通脆弱性識別子(CVE) CVEとは?
CVE-2025-46409 CVE-2025-52460 CVE-2025-53396 CVE-2025-53970 CVE-2025-54762 CVE-2025-54819 CVE-2025-58072 CVE-2025-58081
参考情報
JVN : JVN#99577552
更新履歴
[2025年08月27日] 掲載


公表日	2025/08/27
登録日	2025/08/27
最終更新日	2025/08/27

SS1における複数の脆弱性