CVEノート

最近の脆弱性 › CVE-2025-32975

Quest KACE Systems Management Appliance (SMA) の認証の不備の脆弱性（CVE-2025-32975）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号CVE-2025-32975
製品Quest KACE Systems Management Appliance (SMA)
深刻度（CVSS）10.0 緊急CVSS v3.1
NVD に登録された、他の機関（開発元など）による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
KEVへの追加日2026-04-20
米国政府機関の対応期限2026-05-04
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-287

何が起きた

Quest KACE Systems Management Appliance (SMA) のシングルサインオン（SSO）の処理に、正しいパスワードなしで本物の利用者のなりすましができる弱点が見つかりました。NVD の説明では、管理者として完全に乗っ取られるおそれがあります。NVD の評価では、ネットワーク経由で、ログイン不要、利用者の操作も不要で悪用できます。実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が SSO の処理に細工した通信を送る → 2. 正しいパスワードなしで利用者になりすます → 3. 管理者の権限で操作する1攻撃者が SSO の処理に細工した通信を送る2正しいパスワードなしで利用者になりすます3管理者の権限で操作する攻撃の流れ: 1. 攻撃者が SSO の処理に細工した通信を送る → 2. 正しいパスワードなしで利用者になりすます → 3. 管理者の権限で操作する1攻撃者が SSO の処理に細工した通信を送る2正しいパスワードなしで利用者になりすます3管理者の権限で操作する

誰が影響を受ける

Quest KACE Systems Management Appliance (SMA) を使っている組織が影響を受けます。NVD の説明では、13.0.x の 13.0.385 より前、13.1.x の 13.1.81 より前、13.2.x の 13.2.183 より前、14.0.x の 14.0.341 (Patch 5) より前、14.1.x の 14.1.101 (Patch 4) より前が対象です。

何をすればいい

Quest の案内（KB 4379499）に従って、使っている系列に応じて 13.0.385、13.1.81、13.2.183、14.0.341 (Patch 5)、14.1.101 (Patch 4) 以降に更新してください。13 系は Cumulative Patch 1 を管理者コンソールから当てますが、当てたあとに 13.0 から 13.1 のように版を上げた場合は、もう一度当て直す必要があります。悪用が確認されているため、管理者のアカウントに身に覚えのない操作がないかも確かめてください。

やることチェックリスト

用語メモ

シングルサインオン
一度ログインすれば、複数のサービスを続けて使えるようにするしくみです。
なりすまし
他人のふりをして、その人の権限でシステムを使うことです。

元データ（英語・CISA KEV より）

Quest KACE Systems Management Appliance (SMA) Improper Authentication Vulnerability

概要

Quest KACE Systems Management Appliance (SMA) contains an improper authentication vulnerability that could allow attackers to impersonate legitimate users without valid credentials.

推奨対応

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

公式情報