Libraesva Email Security Gateway のコマンドインジェクションの脆弱性（CVE-2025-59689）

何が起きた

メールの安全を守る装置 Libraesva Email Security Gateway（ESG）に、圧縮されたメールの添付ファイルを通じて命令を紛れ込ませられる弱点（コマンドインジェクション）が見つかり、実際の悪用が確認されています。NVD に登録された MITRE の評価では、ネットワーク経由で、ログインしていない攻撃者が悪用でき、利用者の操作が必要とされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Libraesva ESG の 4.5 から 5.5.x（5.5.7 より前）を使っている組織が対象です。

何をすればいい

Libraesva の公式の案内を確認し、修正版に更新してください。Libraesva のリリースノートでは、修正版は、5.0 系が 5.0.31、5.1 系が 5.1.20、5.2 系が 5.2.31、5.3 系が 5.3.17、5.4 系が 5.4.8、5.5 系が 5.5.7 です（いずれも2025年9月16日の公開）。5.0 より前の版の修正版は、この一覧にはありません。

やることチェックリスト

• ESG の版番号を確認する
• 5.5 系は 5.5.7 以降に更新する
• 5.0 系から 5.4 系も各系の修正版に更新する

用語メモ

Email Security Gateway

会社に届くメールを受け取る前に調べ、迷惑メールや危険な添付ファイルを止める装置やソフトです。

コマンドインジェクション 用語集で見る

入力したデータに命令を紛れ込ませ、機器やサーバーに実行させてしまう攻撃です。

添付ファイル

メールに付けて一緒に送るファイルのことです。