ESETカスタマーアドバイザリー 2025-0014
2025年8月22日
深刻度中程度
概要
CVE-2025-48976およびCVE-2025-48988の影響評価中に、ESETの開発者がESET PROTECT On-PremのWebコンソールコードに同様の問題を発見しました。ESETはESET PROTECT On-premの修正バージョンをリリースしており、これらにアップグレードするか、近い将来にアップグレードを行うことを推奨します。
注：ESETがクラウドサービスとして提供しているESET PROTECTは影響を受けません。
詳細
この脆弱性は、マルチパートリクエストの入力データに関する制限の欠落にあります。特に、ESET PROTECT On-Prem Web Console にサーブレットをアップロードするよう細工されたリクエストは、リソース消費量（CPU および RAM）を増加させ、サービス拒否攻撃の条件となる可能性があり、例えば、ESET PROTECT Web Console（および、同じサーバー上で実行されている他のサービス）が正しく機能しなくなる可能性があります。
注意: インストールされた ESET セキュリティ製品は、ESET PROTECT による管理が一時的に不可能になった場合でも、導入されたシステムの保護を継続します。
この脆弱性に予約されているCVE IDはCVE-2025-8352で、CVSS v4.0スコアは6.9、CVSSベクターは以下の通りです：CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N
私たちの知る限り、この脆弱性を悪用するエクスプロイトは存在しません。
対策
ESET は脆弱性のあるコードを削除し、代わりに Apache Tomcat が提供する実装を使用しました。
ESETは、ESET PROTECT On-Premのバージョンファミリ12.1、12.0、および11.1の修正ビルドをリリースしており、これらにアップグレードするか、近い将来にアップグレードすることを推奨しています。
修正ビルド（以下のリスト）は、www.eset.com のダウンロードセクションまたは ESET Repository から入手できます。
- ESET PROTECT On-Prem 12.1.11.0、Apache Tomcat 9.0.107上のWeb Console 12.1.260.0使用時
- Webコンソール12.0.306.0を使用したESET PROTECT On-Prem 12.0.15.0（Apache Tomcat 9.0.107上
- Webコンソール11.1.159.0を使用したESET PROTECT On-Prem 11.1.18.0（Apache Tomcat 9.0.107上
注：仮想アプライアンスの上記バージョンのWeb Consoleには、この脆弱性の修正が含まれています。
ただし、Linux上のApache Tomcatのバージョニングは、Windowsプラットフォームのバージョニングと一致しません。このため、ESET PROTECT仮想アプライアンスをご利用のお客様や、Linux上でESET PROTECT On-Premを導入されたお客様は、導入されているApache Tomcatのバージョンを確認し、脆弱性CVE-2025-48976およびCVE-2025-48988が修正されたバージョンがある場合は、そちらにアップグレードする必要があります。
新規インストールの場合は、www.eset.com または ESET リポジトリからダウンロードした最新のインストーラを使用することをお勧めします。
影響を受けるESET製品
- ESET PROTECT On-Prem 12.1.9.0（Webコンソール12.1.252.0付き）およびそれ以前
- ESET PROTECT On-Prem 12.0.13.0 (Web Console 12.0.289.0) およびそれ以前
- ESET PROTECT On-Prem 11.1.16.0 (Web Console 11.1.149.0) およびそれ以前
注意:サポート終了または制限付きサポートに達した ESET 製品のバージョンは、一覧に表示されない場合があります。
フィードバックとサポート
この問題に関するフィードバックやご質問は、ESET Security Forum または local ESET Technical Support までお問い合わせください。
バージョンログ
バージョン 1.0（2025年8月22日）：この文書の初期バージョン
