SmarterMail の脆弱性 CVE-2025-52691 が FIX：ファイル・アップロード機能を介した RCE

Critical SmarterMail Flaw Allows Attackers to Execute Remote Code

2025/12/30 gbhackers — 広く利用されている SmarterMail ソフトウェアに存在する深刻な脆弱性について、SmarterTools が緊急のセキュリティ・アドバイザリを公開した。この脆弱性 CVE-2025-52691 (CVSS v3.1：10.0) を悪用する未認証の攻撃者は、影響を受けるメール・サーバを完全に制御下に置く可能性がある。この脆弱性が影響を及ぼす範囲は、SmarterMail のバージョン Build 9406 以下である。

Cyber Security Agency によると、この脆弱性は任意のファイル・アップロード機能の欠陥に起因する。SmarterMail は、サーバにアップロードされるファイルの種類を、適切に検証／制限していなかった。

この不備により、ログインによる認証や事前のアクセス権を持たない攻撃者が、メール・サーバのファイル・システム上の任意の場所へ、悪意のファイルをアップロードできる状況になっていた。こうして、アップロードされた悪意のファイルが実行されると、攻撃者はリモートコード実行 (RCE) を達成できる。

企業セキュリティにとって、きわめて深刻な状況である。RCE が成立すると、攻撃者はメールサーバ・ソフトウェアと同一の権限でコマンド実行が可能となる。その結果として、以下のような被害が発生し得る。

  • データ窃取：機密メール／連絡先リスト／添付ファイルに対する、不正アクセスの可能性がある。
  • サーバ乗っ取り：ランサムウェア／バックドアなどのマルウェアが、インストールされる恐れがある。
  • ネットワーク・ピボット：侵害されたメール・サーバを起点として、社内ネットワーク上の他システムへの攻撃が引き起こされる。

すでに SmarterTools は、パッチをリリースし、この問題を修正している。ユーザーおよび管理者にとって必要なことは、SmarterMail Build 9413 へと速やかにアップデートすることだ。

FeatureDetails
CVE IDCVE-2025-52691
ProductSmarterMail
Vulnerability TypeArbitrary File Upload / RCE
CVSS v3.1 Score10.0 (Critical)

このエクスプロイトは、未認証の攻撃者により悪用される可能性があるため、アップデートが完了するまでの間、インターネットに公開されているサーバは深刻なリスクにさらされる。

この脆弱性は、Singapore の Center for Strategic Infocomm Technologies (CSIT) に所属する、Chua Meng Han により発見された。Singapore Cyber Security Agency (CSA) は、協調的な情報開示を通じて迅速に対応した SmarterTools Inc. に謝意を表している。

この問題の原因は、サーバにファイルをアップロードする機能において、送られてくるファイルの種類を適切に確認／制限する仕組みが欠けていたことにあります。そのため、本来は許可されないはずの悪意のプログラムを、認証なしでサーバ内の任意の場所へ送り込めてしまう状態になっていました。その結果として、アップロードされたファイルが実行されることで、外部からサーバを自由に操作されるリモートコード実行が可能になっていたとのことです。ご利用のチームは、ご注意ください。よろしければ、Mail での検索結果も、ご参照ください。