Dell Storage の脆弱性 CVE-2025-43994／43995／46425：リモートからの不正アクセスと情報漏洩

Critical Dell Storage Manager Vulnerabilities Let Attackers Compromise System

2025/10/27 CyberSecurityNews — Dell Technologies が公表したのは、Storage Manager ソフトウェアに存在する３件の深刻な脆弱性 CVE-2025-43994／43995／46425 (CVSS：6.5～9.8) の情報である。それらを悪用する攻撃者は、認証を回避して機密情報を漏洩させ、システムへの不正アクセスを引き起こす可能性がある。このツールをストレージ・アレイの管理に利用する組織に、深刻なリスクが生じている。2025年10月24日に発表された、この欠陥が影響を及ぼす範囲は、Dell Storage Manager バージョン 20.1.21 以下である。

これらの脆弱性は、ユーザーの操作なしに遠隔から悪用される可能性があり、管理インターフェイスのセキュリティ確保における継続的な課題を浮き彫りにしている。最も深刻な脆弱性 CVE-2025-43995 (CVSS：9.8：Critical) は、DSM データコレクター・コンポーネントに存在する不正な認証に起因する。

未認証のリモート攻撃者は、特別に細工したセッション・キー／ユーザー ID により、”DataCollectorEar.ear” 内の “ApiProxy.war” が公開する API を悪用できる。Compellent Services API の内部用に作成された、これらの認証情報は特別なユーザーを利用するものであるため、攻撃者は保護メカニズムを完全に回避できる。

この攻撃の結果としてシステム全体が侵害されるため、CVSS 3.1 で評価される攻撃ベクター (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) の機密性／整合性／可用性に深刻な影響が生じるという。

高リスクの認証ギャップが露呈

２件目の脆弱性 CVE-2025-43994 (CVSS：8.6) は、重要機能における認証チェックの欠落に関するものである。未認証のリモート攻撃者が、DSM 20.1.21 を標的とする情報漏洩を引き起こし、サービスの可用性を妨げる可能性がある。

CVSS ベクターは (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:H) であり、複雑度が低く権限を必要とされないため、日和見ハッカーにとって格好の標的となる。攻撃者は、コンフィグ・データや運用の詳細を抽出し、より広範なネットワーク侵入の足掛かりを得る可能性がある。

３件目の脆弱性 CVE-2025-46425 (CVSS：6.5) は、XML 外部エンティティ参照の不適切な制限を導入するものだ。リモートの低権限ユーザーによる悪用が可能であり、機密ファイルへの不正アクセスが生じるが、整合性／可用性への直接的な影響はない。

CVSS ベクターは (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N) であり、信頼できない XML 入力をストレージ管理ツールで解析する際の危険性を浮き彫りにしている。

CVE IDDescriptionCVSS Base ScoreVector String
CVE-2025-43995Improper Authentication (Bypass)9.8CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVE-2025-43994Missing Authentication (Disclosure)8.6CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:H
CVE-2025-46425XXE Reference Vulnerability6.5CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
Dell Storage Manager の脆弱性

すべてのユーザーに対して Dell が強く推奨するのは、ベーススコアと環境スコアによりリスクを評価し、早急にアップデートを実施することだ。

影響を受ける製品は Dell Storage Manager のバージョン 2020 R1.21 以下であり、修正プログラムは 2020 R1.22 以降で利用可能となっている。それらのアップデートは、Dell Storage SC2000 ドライバのサポート・サイトから入手できる。

今回の情報が公表された日にガイダンスの修正が生じ、アドバイザリは迅速に改訂された。CVE-2025-43994／CVE-2025-43995 の発見は Tenable によるものであり、また、CVE-2025-46425 の発見は独立研究者 Ahmed Y. Elmogy によるものだ。両者に対して Dell は謝意を表している。

企業がデータセンター向けストレージソリューションへの依存度を高める中、これらの脆弱性の開示が再認識させるのは、認証強化と定期的な脆弱性スキャンの実施である。

現時点において悪用の事例は報告されていないが、リモートアクセスが容易な脆弱性であるため、迅速な対応により潜在的な侵害を防ぐべきである。

Dell Storage Manager の認証機構に関する設計上の不備を原因とする、３件の深刻な脆弱性が公開されました。特に DSM データ・コレクター部分で、特別なユーザー情報を使う API が不正に利用できてしまう点が深刻である。認証を必要としない外部からアクセスが可能な構造は、攻撃者にとって非常に都合がよく、機密情報の漏洩やシステム乗っ取りにつながります。さらに、XML 処理の制限不足など、入力検証の甘さも問題を広げていると、この記事は指摘しています。ご利用のチームは、ご注意ください。よろしければ、Dell で検索を、ご参照ください。