- ひとことでSysAid On-Prem で、Checkin 処理の不備から管理者アカウントを奪われる弱点です。
- 深刻度7.5 重要CVSS v3.1
- まずやることSysAid On-Prem の版を確認する
基本情報（データから表示）
| CVE番号 | CVE-2025-2775 |
|---|---|
| 製品 | SysAid SysAid On-Prem |
| 深刻度（CVSS） | 7.5 重要CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
| KEVへの追加日 | 2025-07-22 |
| 米国政府機関の対応期限 | 2025-08-12 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-611（XML外部実体参照の制限の不備（XXE）） |
何が起きた
IT サポート管理ソフトの SysAid On-Prem で、Checkin という処理の機能に XXE（XML 外部実体参照）と呼ばれる弱点が見つかり、実際の悪用が確認されています。悪用されると、管理者アカウントを乗っ取られたり、サーバー上のファイルを読まれたりするおそれがあります。NVD の評価では、ネットワーク経由で、ログイン不要の攻撃者が、利用者の操作なしに悪用できます。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
SysAid On-Prem を自社で運用している組織が対象です。CVE の記録と NVD では、23.3.40 以前の版が影響を受けるとされています。
何をすればいい
SysAid の公式の案内を確認し、使っている版が 23.3.40 より新しい版に更新されているか確認します。修正版の具体的な番号は、メーカーの公式の案内で確かめてください。CISA は、対策ができない場合は製品の利用をやめるよう求めています。
やることチェックリスト
- SysAid On-Prem の版を確認する
- 23.3.40 以前なら新しい版に更新する
- 対策できなければ利用の停止を検討する
用語メモ
- XXE 用語集で見る
- XML という形式のデータを読み込むときに、外部のファイルなどを意図せず参照させられてしまう弱点のことです。
- Checkin
- SysAid の中で、情報を受け取って登録する処理の名前です。
次に読む
公式情報と元データ
公式情報
元データ（英語・CISA KEV より）を開く
SysAid On-Prem Improper Restriction of XML External Entity Reference Vulnerability
概要
SysAid On-Prem contains an improper restriction of XML external entity reference vulnerability in the Checkin processing functionality, allowing for administrator account takeover and file read primitives.
推奨対応
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
この元データの出どころ: CISA KEV カタログで見る