Teleport の脆弱性 CVE-2025-49825 が FIX：リモート認証バイパスの可能性

Critical Teleport Vulnerability Let Attackers Remotely Bypass Authentication Controls

2025/06/23 CyberSecurityNews — Teleport に存在する深刻な脆弱性 CVE-2025-49825 を悪用する攻撃者は、この広く普及しているセキュア・アクセス・プラットフォームの認証制御に対する、リモート・バイパスを可能にする。この脆弱性が影響を及ぼす範囲は、Teleport インフラの複数バージョンであるため、すべての導入環境において速やかに対策を講じる必要がある。独自のエージェントを管理している組織は、速やかなセキュリティ・アップデートにより、潜在的なセキュリティ侵害を防ぐ必要がある。その一方で、クラウド・ユーザーは、コントロール・プレーンのバージョンが自動的に更新されている。

概要
  1. CVE-2025-49825 を悪用する攻撃者は、Teleport の認証制御をリモートからバイパスできる。それにより、このプラットフォームの複数バージョンに影響が生じる。
  2. すでに Teleport は、バージョン 17.5.2／16.5.12／15.5.3／14.4.1／13.4.27／12.4.35 として、セキュリティ・アップデートをリリースしている。また、クラウド・ユーザーは、コントロール・プレーンの自動更新を受けている。
  3. ユーザー組織にとって必要なことは、すべてのセルフマネージド Teleport エージェントを、tctl inventory コマンドを用いて手動で更新することだ。それにより、脆弱なインスタンスが特定された後に、パッケージ・マネージャー経由でのアップグレードもしくは、Managed Updates v2 の登録へと誘導される。
重大な認証バイパスの脆弱性

この脆弱性 CVE-2025-49825 は、世界中の Teleport 環境にとって重大な脅威となる。セキュリティ研究者たちが発見したのは、この脆弱性を悪用する攻撃者が、リモートから認証メカニズムを回避し、機密性の高いインフラやシステムへと不正にアクセスする可能性である

すでに Teleport は、パッチ適用版であるバージョン 17.5.2／16.5.12／15.5.3／14.4.1／13.4.27／12.4.35 などをリリースし、この問題に対処している。また、Teleport Cloud のユーザーには、コントロール・プレーン・インフラストラクチャに対して、自動セキュリティ更新が適用されている。

Managed Updates v2 を利用するユーザー組織は、2025年6月9日の定例メンテナンス期間中に、エージェントの自動更新を受けている。ただし、自動管理機能のない環境では、速やかに手動で介入し、この脆弱性を完全に軽減する必要がある。

Risk FactorsDetails
Affected Products– Teleport versions prior to 17.5.2, 16.5.12, 15.5.3, 14.4.1, 13.4.27, and 12.4.35- Teleport Cloud instances with unpatched agents- Self-managed Teleport environments without Managed Updates v2- Kubernetes deployments utilizing Teleport ssh_service
ImpactAuthentication bypass
Exploit Prerequisites– Network access to vulnerable Teleport instances- Targeting unpatched Teleport versions- Access attempt against authentication controls- Ability to reach Teleport service endpoints
CVSS 3.1 Score9.8 (Critical)
エージェントの更新

ユーザー組織にとって必要なことは、自社のインフラス内で実行されている、すべての Teleport エージェントの更新を優先し、このセキュリティ・リスクを排除することだ。なお、最も効率的な方法は、自動パッチ管理機能を提供する、Managed Updates v2 への登録であるという。

システム管理者は、バージョン範囲ごとにカスタマイズされた tctl inventory コマンドを用いて、脆弱なエージェントを特定できる。特定されたエージェントは、クラスター・バージョンに一致する、最新のパッチ・リリースへとアップグレードする必要があるが、そこで使用するのは、apt や yum などの従来からのパッケージ・マネージャーとなる。

アップグレードが成功した後に、管理者にとって必要なことは、sudo teleport-update enable を実行し、すべてのエージェントを登録することだ。これにより、従来のパッケージ・マネージャーから離れたところで、移行が管理される。

なお、脆弱性対応プロセス中に、ロックされたエージェントに遭遇する可能性がある。この脆弱なエージェントは保護対策として自動的にロックされているが、ロックを解除する前に更新することが必要である。

tctl alerts ack –ttl 48h コマンドを使用すると、ユーザー・エクスペリエンス維持のために、脆弱性バナーは一時的に排除されるが、更新は完了する。

Kubernetes 環境では、特別な配慮が必要となる。標準の teleport-update メカニズムではなく、teleport-kube-agent アップデーターを使用する必要がある。このアップデーターは、Managed Updates V1 および V2 システムとの互換性を維持している。

パッチを適用していない Kubernetes エージェントは、Teleport の ssh_service 機能を通じて、SSH アクセスを提供する場合に脆弱性を引きずる。したがって、すべてのデプロイメント・シナリオにおいて、速やかな更新が重要となる。

Teleport における脆弱性 CVE-2025-49825 は、認証制御のリモート・バイパスという深刻なものです。SSH や Kubernetes 環境に広く導入されているプラットフォームだけに、影響の範囲は広大なものとなるでしょう。ご利用のチームは、ご注意ください。なお、Teleport の概要については、Wikipedia を、ご参照ください。