最近の脆弱性 › CVE-2025-25181

Advantive VeraCore のSQLインジェクションの脆弱性（CVE-2025-25181）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号	CVE-2025-25181
製品	Advantive VeraCore
深刻度（CVSS）	7.5 重要CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N`
KEVへの追加日	2025-03-10
米国政府機関の対応期限	2025-03-31
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-89

何が起きた

倉庫や注文の管理に使われる Advantive VeraCore の timeoutWarning.asp というページに、SQL インジェクション（入力欄などからデータベースへの命令を紛れ込ませる攻撃）の弱点が見つかり、実際に悪用が確認されています。PmSess1 というパラメーターを通じて、攻撃者が任意の SQL 命令（攻撃者が好きに選べるデータベースへの命令）を実行できるおそれがあります。NVD の評価では、ネットワーク経由で、ログインなしに、利用者の操作もなしに悪用できます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Advantive VeraCore を使っている組織が対象です。CVE の記録と NVD の説明では 2025.1.0 までの版が影響を受けるとされ、NVD の対象範囲の登録では 2025.1.1.3 より前の版が影響を受けるとされています。

何をすればいい

CVE の記録では 2025.1.0 までが影響を受けるとされ、NVD の対象範囲では 2025.1.1.3 より前が影響を受けるとされています。VeraCore が 2025.1.1.3 以降に更新されているか確認し、古い版なら更新してください。修正版と手順は、Advantive のサポートページ（ログインが必要）で確かめてください。

やることチェックリスト

VeraCore の版が2025.1.1.3以降か確認する
2025.1.1.3より前なら更新する
Advantive のサポートで修正版を確かめる

用語メモ

SQL インジェクション: 入力欄などにデータベースへの命令を紛れ込ませ、本来できない操作をさせる攻撃です。
パラメーター: Web ページに送る値のことで、ページの動きを決めるために使われます。

元データ（英語・CISA KEV より）

Advantive VeraCore SQL Injection Vulnerability

概要

Advantive VeraCore contains a SQL injection vulnerability in timeoutWarning.asp that allows a remote attacker to execute arbitrary SQL commands via the PmSess1 parameter.

推奨対応

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.