セキュリティ

SECURITY

公開：2025-04-18

【CVE-2025-32358】Zammad 6.4.xでSSRF脆弱性が発見、管理者権限での内部ネットワークアクセスのリスクに警鐘

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

• Zammad 6.4.xにSSRF脆弱性が発見される
• 管理者権限でWebhookを介したリダイレクト攻撃が可能に
• Zammad 6.4.2で脆弱性が修正される

Zammad 6.4.xのSSRF脆弱性とそのリスク

MITREは2025年4月5日、チケット管理システムZammad 6.4.xにおけるサーバサイドリクエストフォージェリ（SSRF）の脆弱性【CVE-2025-32358】を公開した。この脆弱性は管理者権限を持つユーザーがWebhookを設定した際に発生し、リダイレクトレスポンスを返すエンドポイントを経由して内部ネットワークへのGETリクエストを引き起こす可能性があることが判明している。^[1]

CVSSスコアは4.0（MEDIUM）と評価され、攻撃元区分はネットワークで攻撃条件の複雑さは高いとされている。攻撃には特権は不要だが、ユーザーの関与が必要であり、影響の想定範囲に変更があるとされている。この脆弱性は特定の管理者権限を持つユーザーのみが悪用可能だが、内部システムへの不正アクセスのリスクが存在する。

Zammadはこの脆弱性に対応するため、バージョン6.4.2でセキュリティアップデートを提供している。この修正により、Webhookのリダイレクト処理における脆弱性が解消され、内部ネットワークへの不正アクセスのリスクが低減された。影響を受けるバージョンを使用している組織は、早急なアップデートが推奨される。

Zammad 6.4.xの脆弱性詳細

サーバサイドリクエストフォージェリについて

サーバサイドリクエストフォージェリ（SSRF）とは、攻撃者が対象のサーバーを介して他のシステムやサービスに不正なリクエストを送信させる攻撃手法のことを指す。主な特徴として、以下のような点が挙げられる。

• 内部ネットワークへのアクセスが可能になる
• サーバーの信頼性を悪用した攻撃が実行できる
• ファイアウォールをバイパスして保護されたリソースにアクセスできる

ZammadのSSRF脆弱性は、WebhookのリダイレクトレスポンスにおけるGETリクエストの処理に起因している。管理者権限を持つユーザーがWebhookを設定した際に、リダイレクトレスポンスを返すエンドポイントを経由して内部ネットワークへのGETリクエストを引き起こす可能性があり、この脆弱性を悪用することで内部システムへの不正アクセスのリスクが発生する。

Zammad 6.4.xの脆弱性に関する考察

Zammadの脆弱性対応は、Webhookという広く使用される機能に関するものであり、内部ネットワークへのアクセスリスクを考慮した適切な対応といえる。しかし、管理者権限を持つユーザーによる攻撃を想定したセキュリティ設計の重要性が改めて浮き彫りとなり、特権アカウントの管理やアクセス制御の在り方について再考が必要だろう。

今後はWebhook機能におけるリダイレクト処理の安全性確保だけでなく、管理者権限の細分化や特権アカウントの操作ログ監視など、多層的なセキュリティ対策の実装が求められる。また、内部ネットワークのセグメンテーションやアクセス制御の強化など、インフラストラクチャレベルでの対策も検討が必要になるだろう。

また、今回の脆弱性はパッチ適用で対応可能だが、同様の脆弱性が他のバージョンや機能で発見される可能性も否定できない。継続的なセキュリティ監査や脆弱性診断の実施、そして発見された問題への迅速な対応体制の整備が、今後のZammadの信頼性向上において重要な課題となるはずだ。

参考サイト

1. ^ CVE. 「CVE Record: CVE-2025-32358」. https://www.cve.org/CVERecord?id=CVE-2025-32358, (参照 25-04-18).
1213

※上記コンテンツはAIで確認しておりますが、間違い等ある場合はコメントよりご連絡いただけますと幸いです。

「セキュリティ」に関するコラム一覧「セキュリティ」に関するニュース一覧