CVE-2025-25181とは？Advantive VeraCoreの脆弱性をわかりやすく解説

ひとことでAdvantive VeraCore で、外から任意のデータベース命令を実行される弱点
深刻度7.5 重要CVSS v3.1
まずやることVeraCore の版が2025.1.1.3以降か確認する

基本情報（データから表示）

CVE番号	CVE-2025-25181
製品	Advantive VeraCore
深刻度（CVSS）	7.5 重要CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N`
KEVへの追加日	2025-03-10
米国政府機関の対応期限	2025-03-31
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-89（SQLインジェクション）

何が起きた

倉庫や注文の管理に使われる Advantive VeraCore の timeoutWarning.asp というページに、SQL インジェクション（入力欄などからデータベースへの命令を紛れ込ませる攻撃）の弱点が見つかり、実際に悪用が確認されています。PmSess1 というパラメーターを通じて、攻撃者が任意の SQL 命令（攻撃者が好きに選べるデータベースへの命令）を実行できるおそれがあります。NVD の評価では、ネットワーク経由で、ログインなしに、利用者の操作もなしに悪用できます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Advantive VeraCore を使っている組織が対象です。CVE の記録と NVD の説明では 2025.1.0 までの版が影響を受けるとされ、NVD の対象範囲の登録では 2025.1.1.3 より前の版が影響を受けるとされています。

何をすればいい

CVE の記録では 2025.1.0 までが影響を受けるとされ、NVD の対象範囲では 2025.1.1.3 より前が影響を受けるとされています。VeraCore が 2025.1.1.3 以降に更新されているか確認し、古い版なら更新してください。修正版と手順は、Advantive のサポートページ（ログインが必要）で確かめてください。

やることチェックリスト

VeraCore の版が2025.1.1.3以降か確認する
2025.1.1.3より前なら更新する
Advantive のサポートで修正版を確かめる

用語メモ

SQL インジェクション用語集で見る: 入力欄などにデータベースへの命令を紛れ込ませ、本来できない操作をさせる攻撃です。
パラメーター用語集で見る: Web ページに送る値のことで、ページの動きを決めるために使われます。

次に読む

同じ製品・メーカーの脆弱性Advantive VeraCore（CVE-2024-57968）8.8 重要CVSS v3.1Advantive VeraCore で、ファイルを意図しない場所に置かれてしまう弱点基本の解説SQLインジェクションとは入力した文字がデータベースへの命令として扱われる脆弱性

最新の脆弱性の一覧に戻る・これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Advantive VeraCore SQL Injection Vulnerability

概要

Advantive VeraCore contains a SQL injection vulnerability in timeoutWarning.asp that allows a remote attacker to execute arbitrary SQL commands via the PmSess1 parameter.

推奨対応

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

この元データの出どころ: CISA KEV カタログで見る

Advantive VeraCore のSQLインジェクションの脆弱性（CVE-2025-25181）