Infodraw MRS 7.1.0.0にディレクトリトラバーサルの脆弱性、CVE-2025-43928による情報漏洩の危険性

記事の要約

• Infodraw Media Relay Service 7.1.0.0の脆弱性に関する情報公開
• MRS Webサーバーのディレクトリトラバーサル脆弱性により、ファイルが不正に読み取られる可能性
• 管理者認証情報が漏洩するリスクがある

Infodraw Media Relay Service 7.1.0.0にディレクトリトラバーサルの脆弱性

MITRE Corporationは2025年4月20日、Infodraw Media Relay Service (MRS) 7.1.0.0におけるディレクトリトラバーサルの脆弱性（CVE-2025-43928）を公開した。この脆弱性により、MRS Webサーバー（ポート12654）を介して、認証されていない攻撃者がシステム上の任意のファイルを読み取ることが可能になる。

特に、ServerParameters.xmlファイルを読み取られると、管理者認証情報がクリアテキストまたはMD5ハッシュで漏洩する可能性がある。この問題は、usernameフィールドにおける../ディレクトリトラバーサルが原因で発生する。

この脆弱性は、CWE-24（Path Traversal: ‘../filedir’）として分類されており、CVSSスコアは5.8（Medium）と評価されている。影響範囲は広く、システム全体の機密性に関わる重大なリスクをもたらす。

脆弱性の詳細

ディレクトリトラバーサルについて

ディレクトリトラバーサルとは、Webアプリケーションの脆弱性の一種で、攻撃者がWebサーバー上のファイルシステムにアクセスし、本来アクセスできないファイルやディレクトリを読み取ることを可能にするものだ。この脆弱性は、以下のような特徴を持つ。

• ファイルパスの検証不備が原因
• 機密情報漏洩のリスク
• システム侵害の足がかりとなる可能性

ディレクトリトラバーサル攻撃を防ぐためには、入力値の厳格な検証や、ファイルシステムへのアクセス制限が不可欠だ。開発者は、ユーザーからの入力に基づいてファイルパスを構築する際に、特に注意を払う必要がある。

CVE-2025-43928に関する考察

Infodraw Media Relay Service 7.1.0.0に見つかったディレクトリトラバーサルの脆弱性は、システム管理者にとって深刻な脅威となる。特に、ServerParameters.xmlファイルに保存された管理者認証情報が漏洩した場合、システム全体が攻撃者の制御下に置かれる可能性があるだろう。

この問題に対する解決策としては、Infodraw社が提供するセキュリティパッチの適用が最も重要だ。また、WAF（Web Application Firewall）の導入や、ファイルシステムへのアクセス制御を強化することも有効な対策となるだろう。さらに、定期的な脆弱性診断を実施し、潜在的なリスクを早期に発見することも重要だ。

今後は、このような脆弱性が発見されないよう、開発段階からセキュリティを考慮した設計が求められる。また、脆弱性情報の早期公開と迅速な対応が、被害を最小限に抑えるために不可欠だ。

参考サイト/関連サイト