セキュリティ

SECURITY

公開：2025-02-08

【CVE-2025-21172】MicrosoftがVisual StudioとNETの重大な脆弱性を公開、複数バージョンで更新が必要に

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

• MicrosoftがVisual StudioとNETの脆弱性を公開
• リモートコード実行の脆弱性が発見され複数バージョンに影響
• 深刻度が高いCVSSスコア7.5を記録し早急な対応が必要

Visual StudioとNETに発見された深刻な脆弱性

Microsoftは2025年1月14日にVisual StudioとNETに影響を及ぼすリモートコード実行の脆弱性【CVE-2025-21172】を公開した。Visual Studio 2017から2022の複数バージョンおよびNET 8.0と9.0に影響を与える深刻な脆弱性であり、CWE-190のInteger Overflow/WraparoundとCWE-122のHeap-based Buffer Overflowの2つの脆弱性タイプに分類されている。^[1]

Visual Studio 2017バージョン15.9では15.9.0から15.9.69未満、Visual Studio 2019バージョン16.11では16.11.0から16.11.43未満、Visual Studio 2022では17.6.0から17.6.22未満の17.6、17.8.0から17.8.17未満の17.8、17.10から17.10.10未満の17.10、17.0から17.12.4未満の17.12が影響を受けることが確認されている。また、NET 8.0では8.0.0から8.0.12未満、NET 9.0では9.0.0から9.0.1未満のバージョンに影響があるとされている。

この脆弱性のCVSSスコアは7.5と高い深刻度を示しており、攻撃者が特権なしでリモートから攻撃を実行できる可能性がある。ネットワークからのアクセスが可能で、攻撃の複雑さは高いものの、ユーザーの操作を必要とする攻撃であり、機密性、整合性、可用性のすべてに高い影響を及ぼす可能性があることが報告されている。

Visual StudioとNETの影響を受けるバージョン一覧

リモートコード実行について

リモートコード実行とは、攻撃者が標的のシステムに対して遠隔から悪意のあるコードを実行できる脆弱性のことを指す。主な特徴として、以下のような点が挙げられる。

• ネットワークを介して遠隔から攻撃が可能
• システムの権限を不正に取得される可能性がある
• 情報漏洩やシステム破壊などの深刻な被害につながる

CVE-2025-21172ではInteger OverflowとHeap-based Buffer Overflowの脆弱性が組み合わさっており、攻撃者がリモートからコードを実行できる危険性が指摘されている。特にCVSSスコアが7.5と高い値を示していることから、早急なアップデートによる対策が推奨される。

Visual StudioとNETの脆弱性に関する考察

Visual StudioとNETという開発者向けの重要なツールに深刻な脆弱性が発見されたことは、ソフトウェア開発のセキュリティ面で大きな課題を投げかけている。開発環境自体が攻撃の対象となることで、作成されるアプリケーションにも影響が及ぶ可能性があり、サプライチェーン攻撃の新たな脅威となる可能性が考えられる。

今後は開発ツールのセキュリティ対策がより重要性を増すことが予想され、特に自動アップデート機能の強化や脆弱性スキャンの定期的な実施が求められるだろう。開発者は常に最新のセキュリティ情報を把握し、迅速なアップデートを行うことが重要であり、組織としてもセキュリティポリシーの見直しと強化が必要になってくる。

また、Visual StudioとNETは多くの企業で利用されているため、脆弱性対策の遅れが業務に影響を与える可能性も考えられる。開発プロセスに影響を与えずにセキュリティアップデートを適用できる仕組みづくりと、緊急時の対応手順の整備が今後の課題となるだろう。

参考サイト

1. ^ CVE. 「CVE: Common Vulnerabilities and Exposures」. https://www.cve.org/CVERecord?id=CVE-2025-21172, (参照 25-02-08).
2. Microsoft. https://www.microsoft.com/ja-jp

※上記コンテンツはAIで確認しておりますが、間違い等ある場合はコメントよりご連絡いただけますと幸いです。

「セキュリティ」に関するコラム一覧「セキュリティ」に関するニュース一覧