TeleMessage TM SGNL の脆弱性（CVE-2025-48927）

何が起きた

メッセージを記録して保存するサービス TeleMessage TM SGNL で、Spring Boot Actuator という管理用の機能が、/heapdump という場所からメモリの中身（ヒープダンプ）を取り出せる状態のまま公開されていました。NVD の説明では、2025年5月に実際の攻撃で悪用されたとされ、CISA の悪用が確認された脆弱性の一覧にも載っています。NVD の評価では、離れた場所からネットワーク経由で、ログインしていない攻撃者が、利用者の操作なしに悪用できるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

TeleMessage のサービスを使っている組織が対象です。CVE の記録では、2025-05-05 までの TeleMessage のサービスが影響を受けるとされています。修正の有無や修正版については、このデータからは不明です。

何をすればいい

TeleMessage（メーカー）の公式の案内を確認し、示された対策をしてください。CISA は、対策がない場合はその製品の利用をやめることを勧めています。

やることチェックリスト

• 社内で TeleMessage を利用しているか洗い出す
• メーカーの示す対策を適用する
• 対策がなければ製品の利用をやめる

用語メモ

Spring Boot Actuator

Java で作ったアプリの状態を確かめたり管理したりするための機能です。設定によっては、内部の情報を外から見られてしまいます。

ヒープダンプ

動いているプログラムのメモリの中身を、そのままファイルに書き出したものです。パスワードなどが含まれることがあります。