Fortra GoAnywhere MFT の安全でないデシリアライズの脆弱性（CVE-2025-10035）

何が起きた

ファイル転送の製品 Fortra GoAnywhere MFT の License Servlet（ライセンスを扱う部分）に、送られてきたデータを安全か確かめずに元のプログラムの部品に戻してしまう弱点（デシリアライズの問題）が見つかりました。正しく偽造したライセンス応答の署名を持つ攻撃者は、自分で用意した任意のデータを処理させることができ、コマンドインジェクションにつながる可能性があります。NVD の評価では、ネットワーク経由で、ログイン不要、利用者の操作なしで悪用できるとされています。実際に悪用が確認されており、ランサムウェアでの悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Fortra GoAnywhere MFT を使っている組織が対象です。CVE の記録（Fortra が登録）では、7.8.3 以前のバージョンが影響を受けるとされています。Fortra は、悪用はシステムがインターネットに公開されているかどうかに大きく左右されると説明しています。

何をすればいい

Fortra の案内では、修正版である最新の 7.8.4、または Sustain Release の 7.6.3 に更新することが対策です。あわせて、GoAnywhere の Admin Console（管理画面）が一般に公開されていないことを直ちに確かめるよう案内されています。影響を受けたかどうかは、Admin Audit のログに不審な動きがないか、ログファイルに SignedObject.getObject を含むエラーがないかで確かめられます。

やることチェックリスト

• GoAnywhere MFT を 7.8.4（Sustain は 7.6.3）に更新する
• Admin Console が一般に公開されていないか確かめる
• ログに SignedObject.getObject のエラーがないか調べる

用語メモ

デシリアライズ

保存や送信のために変換したデータを、元のプログラムの部品に戻す処理です。中身を確かめずに戻すと、攻撃者の仕込んだ動作が実行されることがあります。

コマンドインジェクション

攻撃者が用意した命令を、システムに実行させてしまう攻撃です。

Admin Console

製品の設定や管理を行うための管理画面です。