TeleMessage TM SGNL の脆弱性（CVE-2025-48928）

何が起きた

メッセージを記録して保存するサービス TeleMessage TM SGNL に、動いているプログラムのメモリの中身（ヒープ）を写したデータの中に、以前 HTTP で送られたパスワードが含まれてしまう弱点が見つかりました。NVD の説明では、2025年5月に実際の攻撃で悪用されたとされ、CISA の悪用が確認された脆弱性の一覧にも載っています。NVD の評価では、攻撃は対象の機器の上で（ローカルで）行うものとされ、特別な権限や利用者の操作は不要とされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

TeleMessage のサービスを使っている組織が対象です。CVE の記録では、2025-05-05 までの TeleMessage のサービスが影響を受けるとされています。修正の有無や修正版については、このデータからは不明です。

何をすればいい

TeleMessage（メーカー）の公式の案内を確認し、示された対策をしてください。CISA は、対策がない場合はその製品の利用をやめることを勧めています。

やることチェックリスト

• 社内で TeleMessage を利用しているか洗い出す
• メーカーの示す対策を適用する
• 対策がなければ製品の利用をやめる

用語メモ

HTTP

Web で情報をやりとりするための決まりです。暗号化されない HTTP では、送った内容がそのまま見えてしまうことがあります。

ヒープ

プログラムが動いている間に、データを一時的に置いておくメモリの場所です。