Bitwarden の脆弱性 CVE-2025-5138 が FIX：悪意の PFD のアップロードによる XSS 攻撃

Bitwarden Flaw Allows Upload of Malicious PDFs, Posing Security Risk

2025/05/26 gbhackers — 人気のパスワード管理プラットフォームである、Bitwarden のバージョン 2.25.1 以下に影響を及ぼす、深刻なセキュリティ脆弱性が発見された。この脆弱性 CVE-2025-5138 を悪用する攻撃者は、このプラットフォームのファイル処理システムにアップロードされた悪意の PDF ファイルを介して、クロスサイト・スクリプティング (XSS) 攻撃を可能にするという。

脆弱性の詳細と技術分析

この脆弱性は、Bitwarden のリソース・アップロード機能の問題であり、PDF ファイル・ハンドラー・コンポーネントにおける不十分なファイル・タイプ制限に起因する。

ユーザーが制御可能な入力を Web ページに出力する前に、Bitwarden が適切に無効化しないため、悪意のコード実行の経路ができてしまうことを、セキュリティ研究者たちが発見した。

この攻撃ベクターは、JavaScript コードが埋め込まれた、特別に細工された PDF ファイルをアップロードとなる。

Google Chrome などの Web ブラウザから、これらのファイルにユーザーがアクセスすると、Bitwarden ドメイン内で悪意のコードが実行される。

この DOM ベースの XSS 脆弱性により、アカウント乗っ取り／認証情報の窃取に加えて、被害者を装う不正な操作にいたる可能性もあるため、その結果として重大なリスクが生じる。

この脆弱性は複数の深刻度を持つものであり、その評価方法に応じて CVSS 値は 3.5 (Low) 〜 5.1 (Medium) となる。エクスプロイトを予測する評価システム EPSS は、今後の 30日以内に悪用される可能性を 0.03% と示している。

攻撃手法と概念実証

この脆弱性の悪用プロセスは、一般的かつ単純な攻撃パターンになると評価されている。最初に、攻撃者は Bitwarden の Web インターフェイスにアクセスし、プロジェクト作成セクションに移動する。

新しいプロジェクトを作成した後に、前述のファイル・アップロード機能を利用して、XSS ペイロードが埋め込まれた悪意の PDF を展開する。

この脆弱性が、特に懸念されるのは、特定コンポーネントの認証を必要とせずに、リモートから悪用できる点にある。セキュリティ研究者たちが、詳細な PoC エクスプロイト・デモを公開したことで、この脆弱性の広範囲での悪用のリスクが高まっている。

Vulnerability AttributeDetails
CVE IdentifierCVE-2025-5138
Affected VersionsBitwarden ≤ 2.25.1
Vulnerability TypeCross-Site Scripting (XSS)
Attack VectorNetwork (Remote)
Authentication RequiredLow Privileges
CVSS v3.1 Base Score3.5 (LOW) – 5.1 (MEDIUM)
CWE ClassificationsCWE-79, CWE-94
セキュリティへの影響と緩和策

この脆弱性が浮き彫りにするのは、Web アプリケーションのファイル処理メカニズムにおける、セキュリティ課題が継続していることだ。以前にも Bitwarden では、信頼されたドメインから悪意の SVG ファイルを展開する、アイコン・サーバ機能の問題などで、同様の XSS 脆弱性が特定されている。

この脆弱性が、明らかになったタイミングにも注目すべきだ。セキュリティ研究者コミュニティでの発見の直後に、Bitwarden に対して報告が行われたが、ベンダーからの回答は得られなかったという。このコミュニケーション不足が、同社における脆弱性の開示対応手順に対する懸念を引き起こしている。

セキュリティ専門家たちが強く推奨するのは、Bitwarden のバージョン 2.25. 1以降へと速やかにアップデートし、この脆弱性 CVE-2025-5138 のリスクを軽減することだ。

さらに、ユーザー組織にとって必要なことは、このファイル・アップロード機能を保護するための、CSP (Content Security Policy) や入力検証メカニズムなどのセキュリティ対策の実装である。

その一方で、ユーザーとして注意すべきことは、Bitwarden Vault 内の PDF ファイルに、慎重にアクセスすることだ。また、悪意の JavaScript コードが実行される可能性が高い、新規のブラウザ・タブやウィンドウで、疑わしい添付ファイルを開かないようにしてほしい。

パスワード管理プラットフォーム Bitwarden に XSS 脆弱性とのことですが、すでに PoC が公開されています。ご利用のチームは、アップデートをお急ぎください。 よろしければ、以下の関連記事も、カテゴリ AuthN AuthZ と併せてご参照ください。

2025/05/08：AI と NHI：セキュリティの強化と効率化のカギ
2025/05/02：パスワードへの向き合い方： 世代ごとの感覚の違い
2025/01/27：Bitwarden、2FA 未設定アカウントへの対策を強化