30秒で判断
- 対応すべき人: Arcserve Unified Data Protection (UDP) 10.2 未満を運用している方。
- 対応不要な人: Arcserve UDP を使用していない方、10.2 へ更新済みの方。
- 確認コマンド: Arcserve UDP コンソールの「Help > About」等でバージョンを確認。
概要
Arcserve Unified Data Protection (UDP) に、認証バイパスの脆弱性があります（CWE-288 代替経路・チャネルを用いた認証バイパス）。特定のリクエストパラメータを操作する、あるいはロジックの欠陥を突くことで、有効な資格情報を持たない攻撃者がログイン機構を回避し、管理者レベルの機能やユーザーアカウントへ不正にアクセスできる可能性があります。
バックアップ基盤は復旧の要であり、管理機能を掌握されるとバックアップデータの窃取・改ざん・削除など、事業継続に直結するリスクにつながります。ランサムウェア被害時の最後の砦としても重要な役割を担うため、影響は大きいと考えられます。同製品では未認証のヒープバッファオーバーフロー（CVE-2025-34522）も同時に公表されており、あわせての対応が必要です。
CVSSベクトル
| 項目 | 値 |
|---|---|
| CVSSスコア | 9.8（Critical） |
| 攻撃元区分 (AV) | ネットワーク |
| 攻撃条件の複雑さ (AC) | 低 |
| 必要な権限 (PR) | 不要 |
| CWE | CWE-288（認証バイパス） |
影響を受けるソフトウェア
| 製品 | ベンダー | バージョン |
|---|---|---|
| Unified Data Protection (UDP) | Arcserve | < 10.2（全バージョン） |
修正バージョンと回避策
UDP 10.2 は必要なパッチを含んでおり、追加対応は不要です。8.0〜10.1 はサポート対象のため、パッチ適用または 10.2 へのアップグレードを実施してください。7.x 以前はサポート外・保守終了のため、10.2 への移行が必要です。
関連リンク
データソース: NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。