セキュリティ

SECURITY

公開：2025-01-30

【CVE-2025-21193】Windows Server製品のActive Directory Federation Serverにスプーフィング脆弱性が発見、広範なバージョンに影響

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

• Windows Server製品にスプーフィング脆弱性が判明
• Active Directory Federation Serverに深刻な影響
• 2025年1月14日にセキュリティ更新プログラムを公開

Active Directory Federation Serverの深刻な脆弱性に対応

Microsoftは2025年1月14日、Windows Server製品のActive Directory Federation Serverに存在するスプーフィング脆弱性に関する情報を公開した。Cross-Site Request Forgery（CSRF）の脆弱性として【CVE-2025-21193】が割り当てられ、Common Vulnerability Scoring System（CVSS）のスコアは6.5（深刻度：中）となっている。^[1]

この脆弱性はWindows Server 2016からWindows Server 2025まで広範な製品バージョンに影響を及ぼしており、Server Core installationを含むすべての実装形態が対象となっている。Microsoftは各製品に対するセキュリティ更新プログラムを提供し、システム管理者に早急な適用を推奨している。

特にWindows Server 2019では10.0.17763.0から10.0.17763.6775未満のバージョン、Windows Server 2022では10.0.20348.0から10.0.20348.3091未満のバージョンが影響を受けるなど、広範なバージョンに脆弱性が存在することが判明した。攻撃者は特別な権限を必要とせず、ユーザーの操作を介して攻撃を実行する可能性があるため、早急な対応が求められている。

Windows Server製品の脆弱性対象バージョン

Cross-Site Request Forgeryについて

Cross-Site Request Forgery（CSRF）とは、Webアプリケーションに対する攻撃手法の一つで、ユーザーが意図しないリクエストを強制的に実行させる脆弱性のことを指す。主な特徴として、以下のような点が挙げられる。

• 正規ユーザーのセッション情報を悪用した攻撃が可能
• ユーザーの意図しない操作を強制的に実行
• Webアプリケーションの重要な機能が悪用される可能性

今回発見されたActive Directory Federation ServerのCSRF脆弱性は、攻撃者が特別な権限を必要とせずに攻撃を実行できる点が特徴だ。CVSSスコアは6.5（中程度）と評価されており、攻撃の実行にはユーザーの関与が必要とされるものの、情報の機密性に対して高い影響を及ぼす可能性が指摘されている。

Active Directory Federation Serverの脆弱性に関する考察

Windows Serverの広範なバージョンに影響を与えるActive Directory Federation Serverの脆弱性は、企業のセキュリティ対策に大きな課題を投げかけている。特にServer Core installationを含むすべての実装形態に影響があることから、システム管理者は環境全体を見直し、包括的な対策を講じる必要性に迫られているだろう。

今後はクラウドサービスとの連携やハイブリッド環境での認証基盤としての重要性が増すことから、Active Directory Federation Serverのセキュリティ強化がより一層求められるようになる。特にCSRF対策として、トークンベースの検証やリクエストの検証機能の強化など、多層的な防御メカニズムの実装が期待されるだろう。

Microsoftには継続的なセキュリティアップデートの提供と、脆弱性情報の迅速な公開が求められる。同時に組織側も、セキュリティパッチの適用プロセスを最適化し、脆弱性への対応時間を短縮する体制づくりが重要になってくるはずだ。

参考サイト

1. ^ CVE. 「CVE-2025-21193 | CVE」. https://www.cve.org/CVERecord?id=CVE-2025-21193, (参照 25-01-30).
2. Microsoft. https://www.microsoft.com/ja-jp

※上記コンテンツはAIで確認しておりますが、間違い等ある場合はコメントよりご連絡いただけますと幸いです。

「セキュリティ」に関するコラム一覧「セキュリティ」に関するニュース一覧