Palo Alto GlobalProtect の脆弱性 CVE-2025-2183 が FIX：不十分な証明書検証と権限昇格

Palo Alto GlobalProtect Vulnerability Allows Privilege Escalation via Certificate Bypass

2025/08/15 gbhackers — Palo Alto Networks の GlobalProtect アプリケーションに、新たな脆弱性 CVE-2025-2183 が発見された。この脆弱性を悪用する攻撃者は、不適切な証明書検証を介して権限を昇格し、影響を受けるシステム上での悪意のソフトウェア・インストールの可能性を手にする。2025年8月13日に公開された、このセキュリティ欠陥 CVE-2025-2183 は、Windows／Linux プラットフォームで利用される、人気の VPN クライアントの複数バージョンに影響を及ぼすものだ。

深刻なセキュリティ欠陥の詳細

GlobalProtect アプリ内の証明書検証が不十分であることに、この脆弱性は起因している。この欠陥を突く攻撃者は、アプリケーションをリダイレクトし、自身の管理下にある任意のサーバへの接続を可能にする。

CVE DetailsInformation
CVE IDCVE-2025-2183
CVSS Score4.5 (Medium)
Attack VectorAdjacent Network

このセキュリティ上の弱点の影響を受けるのは、ローカルの非管理者ユーザーや、同じネットワーク・サブネット上に潜む他の脅威アクターである。この脆弱性を悪用する攻撃者は、標的のエンドポイント上に、悪意のルート証明書をインストールする可能性を得る。

不正な証明書がインストールされると、攻撃者は自身の証明機関で署名した悪意のあるソフトウェアを展開し、標準的なセキュリティ対策を効果的に回避できるようになる。

この攻撃ベクターは、”隣接：Adjacent”に分類されるため、それを悪用する攻撃者は、リモート・インターネット・アクセスは不可能であり、標的システムと接近したネットワークに位置する必要がある。

Palo Alto Networks は、この脆弱性に対して CVSS スコア 4.5 を割り当て、深刻度をMedium、緊急度も Medium と評価している。

この脆弱性は、社内セキュリティ調査により発見されたものであり、技術的に複雑であることから、現時点で実際に悪用された事例は確認されていない。

影響を受けるシステムとバージョン

この脆弱性は、複数のプラットフォームにまたがる、GlobalProtect アプリの複数のバージョンに影響を与え、Windows／Linux システムをリスクにさらす。その一方で、Android／iOS／macOS バージョンは、このセキュリティ問題の影響を受けない。

すでに Palo Alto Networks は、セキュリティ・アップデートをリリースし、この脆弱性を修正している。また、影響を受けるバージョン向けのホット・フィックスも提供している。

Windows ユーザーにとって必要なことは、使用しているバージョンに応じて、 GlobalProtect App 6.3.3-h2 または 6.2.8-h3 にアップグレードすることだ。また、Linux ユーザーは、バージョン 6.3.3 以降へとアップグレードする必要がある。

なお、ユーザー組織にとっては、一連のソフトウェア・アップデートに加えて、追加のコンフィグ変更を実施し、悪用を完全に防ぐ必要がある。

この変更に含まれるものには、ポータル証明書とゲートウェイ証明書が OS の証明書ストアを通じて検証されていることの確認／信頼されたルート CA リストからの不要な証明書の削除／厳格な証明書チェックの有効化などがある。

この脆弱性が浮き彫りにするのは、エンタープライズ・セキュリティ・アプリケーションにおける、特にリモート・ユーザーにとっての主要なネットワーク・アクセス・ポイントとして機能する VPN ソリューションにおける、適切な証明書検証の重要性である。

Palo Alto Networks の VPN クライアント GlobalProtect に、新たな脆弱性が発見されました。原因はアプリ内での不十分な証明書検証にあり、細工した証明書をもちいる攻撃者は、標的アプリを自身の管理下にあるサーバへと誘導できると、この記事は指摘しています。ご利用のチームは、ご注意ください。よろしければ、Palo Alto GlobalProtect で検索も、ご参照ください。