- ひとことでSrimax Output Messenger で、本来見られないファイルを読まれる弱点です。
- 深刻度8.8 重要CVSS v3.1
- まずやることOutput Messenger の版を確かめる
基本情報（データから表示）
| CVE番号 | CVE-2025-27920 |
|---|---|
| 製品 | Srimax Output Messenger |
| 深刻度（CVSS） | 8.8 重要CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| KEVへの追加日 | 2025-05-19 |
| 米国政府機関の対応期限 | 2025-06-09 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-22（パストラバーサル） |
何が起きた
社内向けチャットソフト Srimax Output Messenger で、ファイルの場所を指定する値に「../」を入れることで、決められたフォルダーの外にある大事なファイルにアクセスできる弱点（ディレクトリトラバーサル）が見つかりました。設定情報がもれたり、任意のファイルにアクセスされたりする可能性があります。実際の攻撃での悪用が確認されています。NVD の評価では、ネットワーク経由で悪用できますが、一般利用者程度の権限（ログイン済み）が必要です。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
Output Messenger を使っている組織が対象です。影響を受けるのは 2.0.63 より前のバージョンです。
何をすればいい
Output Messenger を 2.0.63 以降に更新されているか確認してください。メーカーは、すべての利用者にこの版へ更新するよう強くすすめています。あわせて、Srimax の公式の案内を確認してください。
やることチェックリスト
- Output Messenger の版を確かめる
- 2.0.63 以降に更新する
- すべての利用者の環境を更新する
用語メモ
- ディレクトリトラバーサル 用語集で見る
- ファイルの場所を指定する値に「../」などを入れて、本来は触れないフォルダーのファイルにアクセスする攻撃です。
- 設定情報
- ソフトの動き方を決める情報で、パスワードなど大事な内容が含まれることがあります。
次に読む
公式情報と元データ
公式情報
元データ（英語・CISA KEV より）を開く
Srimax Output Messenger Directory Traversal Vulnerability
概要
Srimax Output Messenger contains a directory traversal vulnerability that allows an attacker to access sensitive files outside the intended directory, potentially leading to configuration leakage or arbitrary file access.
推奨対応
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
この元データの出どころ: CISA KEV カタログで見る