Srimax Output Messenger のパストラバーサルの脆弱性（CVE-2025-27920）

何が起きた

社内向けチャットソフト Srimax Output Messenger で、ファイルの場所を指定する値に「../」を入れることで、決められたフォルダーの外にある大事なファイルにアクセスできる弱点（ディレクトリトラバーサル）が見つかりました。設定情報がもれたり、任意のファイルにアクセスされたりする可能性があります。実際の攻撃での悪用が確認されています。NVD の評価では、ネットワーク経由で悪用できますが、一般利用者程度の権限（ログイン済み）が必要です。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Output Messenger を使っている組織が対象です。影響を受けるのは 2.0.63 より前のバージョンです。

何をすればいい

Output Messenger を 2.0.63 以降に更新されているか確認してください。メーカーは、すべての利用者にこの版へ更新するよう強くすすめています。あわせて、Srimax の公式の案内を確認してください。

やることチェックリスト

• Output Messenger の版を確かめる
• 2.0.63 以降に更新する
• すべての利用者の環境を更新する

用語メモ

ディレクトリトラバーサル

ファイルの場所を指定する値に「../」などを入れて、本来は触れないフォルダーのファイルにアクセスする攻撃です。

設定情報

ソフトの動き方を決める情報で、パスワードなど大事な内容が含まれることがあります。