Sitecore の複数の製品の安全でないデシリアライズの脆弱性（CVE-2025-53690）

何が起きた

Web サイト管理の製品 Sitecore Experience Manager（XM）と Experience Platform（XP）などに、送られてきたデータを安全か確かめずに元のプログラムの部品に戻してしまう弱点（デシリアライズの問題）が見つかりました。外に知られている ASP.NET のマシンキーを使われると、離れた場所からプログラムを実行される（リモートコード実行）可能性があります。NVD に登録された他の機関の評価では、ネットワーク経由で、ログイン不要、利用者の操作なしで悪用できるとされています。実際に悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

CVE の記録では、Experience Manager（XM）と Experience Platform（XP）の 9.0 までが影響を受けるとされています。Sitecore の案内では、XP 9.0 以前や Active Directory 1.4 以前の導入手順にあった見本のマシンキーをそのまま使っている場合は、XM、XP、Experience Commerce（XC）のどのバージョンでも影響を受けるとされています。また、複数台の構成で自分で決めた固定のマシンキーを使っている場合や、一部の Managed Cloud の環境も影響を受ける可能性があるとされています。

何をすればいい

Sitecore の案内では、環境に怪しい動きがないかすぐに調べ、web.config にあるマシンキーを新しいものに取り替えることが求められています。あわせて、web.config の machineKey 要素を暗号化し、web.config を見られる人をアプリの管理者に限ることも案内されています。詳しい手順は公式の案内を確認してください。

やることチェックリスト

• web.config のマシンキーを新しく取り替える
• 環境に怪しい動きがないかすぐに調べる
• web.config を見られる人を管理者に限る

用語メモ

マシンキー

ASP.NET で、データの改ざんを防いだり暗号化したりするために使う秘密の鍵です。他人に知られると、偽のデータを本物として受け取ってしまいます。

デシリアライズ 用語集で見る

保存や送信のために変換したデータを、元のプログラムの部品に戻す処理です。中身を確かめずに戻すと、攻撃者の仕込んだ動作が実行されることがあります。

web.config

ASP.NET で作られた Web アプリの設定を書いておくファイルです。