セキュリティ

SECURITY

公開：2025-03-25

【CVE-2025-25302】Rembg 2.0.57にCORS設定の脆弱性、全オリジンからのAPIアクセスが可能な状態に

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

• Rembg 2.0.57以前にCORS設定の脆弱性が発見
• 全てのオリジンからのクロスサイトリクエストが許可される状態
• 認証済みクロスサイトリクエストも任意のサイトから可能に

Rembg 2.0.57のCORS設定における脆弱性

GitHubは2025年3月3日、画像の背景除去ツールRembg 2.0.57以前のバージョンにおいて、CORS（Cross-Origin Resource Sharing）の設定に重大な脆弱性が存在することを公開した。この脆弱性は【CVE-2025-25302】として識別されており、CWEによる脆弱性タイプはオリジン検証エラー（CWE-346）に分類されている。^[1]

この脆弱性により、あらゆるWebサイトからRembgサーバーへのクロスサイトリクエストが可能となり、全てのAPIへのアクセスが許可される状態となっている。さらに深刻な問題として、認証機能が有効化されている場合でもallow_credentialsがTrueに設定されているため、任意のWebサイトから認証済みクロスサイトリクエストを送信することが可能な状態となっている。

CVSSスコアは8.7（High）と評価されており、攻撃元区分はネットワーク、攻撃条件の複雑さは低いとされている。また、攻撃に必要な特権レベルは不要であり、ユーザーの関与も必要ないことから、早急な対応が求められる深刻な脆弱性となっている。

Rembg 2.0.57の脆弱性詳細

CORSについて

CORSとは「Cross-Origin Resource Sharing」の略称で、Webブラウザにおける重要なセキュリティ機能の一つを指す。主な特徴として、以下のような点が挙げられる。

• 異なるオリジン間でのリソース共有を制御するメカニズム
• Webアプリケーションのセキュリティを確保する重要な仕組み
• 適切な設定により、クロスサイトリクエストを安全に制御可能

CORSの設定が不適切な場合、Rembgの事例のように意図しないオリジンからのリクエストを許可してしまう可能性がある。特に認証情報を含むリクエストの場合、allow_credentialsの設定が重要であり、適切な設定を行わないとクロスサイトリクエストフォージェリ攻撃のリスクが高まる。

Rembgの脆弱性に関する考察

Rembgの脆弱性は、画像処理サービスにおけるセキュリティ設定の重要性を改めて浮き彫りにする事例となっている。特にCORS設定の不備は、クロスオリジンリクエストの制御を適切に行えない状態を引き起こし、悪意のある第三者によるAPIアクセスやデータ漏洩のリスクを高める結果となっている。

今後は、Webサービスの開発においてCORS設定の適切な実装が更に重要視されることが予想される。特に認証機能を持つサービスでは、allow_credentialsの設定に細心の注意を払い、必要最小限のオリジンのみにアクセスを制限する実装が求められるだろう。

また、オープンソースプロジェクトにおけるセキュリティレビューの重要性も高まっている。コードレビューの段階でCORS設定などのセキュリティ関連の実装を厳密にチェックする体制を整備し、脆弱性の早期発見と修正を可能にする取り組みが必要となる。

参考サイト

1. ^ CVE. 「CVE: Common Vulnerabilities and Exposures」. https://www.cve.org/CVERecord?id=CVE-2025-25302, (参照 25-03-25).
1466

※上記コンテンツはAIで確認しておりますが、間違い等ある場合はコメントよりご連絡いただけますと幸いです。

「セキュリティ」に関するコラム一覧「セキュリティ」に関するニュース一覧