つみかさね

CVE-2025-34522

Critical(9.8)

Arcserve UDPのヒープバッファオーバーフロー CVE-2025-34522：影響範囲と対応方法

公開日: 2026-09-27データソース: NVD, GitHub Advisory

影響を受けるソフトウェア

製品ベンダー影響バージョン
Unified Data Protection (UDP)Arcserve< 10.2

対応ガイド

high|対応必須セキュリティ修正影響: 極めて広範

推奨アクション

  1. 1Arcserve UDPのバージョンを確認する
  2. 210.2へアップグレードする、または8.0〜10.1はパッチを適用する
  3. 3サポート外の7.x以前は10.2へ移行する

影響対象

Arcserve UDP運用者

対応不要な人

  • ✓Arcserve UDPを使用していない、または10.2を利用している場合

補足

  • -未認証で悪用可能なため、外部から到達できる構成は特に優先してください
CVEArcserveUDPバッファオーバーフローRCE

30秒で判断

  • 対応すべき人: Arcserve Unified Data Protection (UDP) 10.2 未満を運用している方。
  • 対応不要な人: Arcserve UDP を使用していない方、10.2 へ更新済みの方。
  • 確認コマンド: Arcserve UDP コンソールの「Help > About」等でバージョンを確認。

概要

Arcserve Unified Data Protection (UDP) は、バックアップ・災害復旧を担うデータ保護製品です。入力解析処理に境界チェックの不備があり（CWE-122 ヒープベースのバッファオーバーフロー）、認証なしで細工した入力を送信することでヒープメモリを上書きできる脆弱性があります。

アプリケーションのクラッシュや、影響を受けるプロセスのコンテキストでのリモートコード実行につながる可能性があります。ユーザー操作を必要とせず、事前認証も不要である点でリスクが高い脆弱性です。同製品では認証バイパス（CVE-2025-34520）も同時に公表されています。

CVSSベクトル

項目値
CVSSスコア9.8（Critical）
攻撃元区分 (AV)ネットワーク
攻撃条件の複雑さ (AC)低
必要な権限 (PR)不要
CWECWE-122（ヒープベースのバッファオーバーフロー）

影響を受けるソフトウェア

製品ベンダーバージョン
Unified Data Protection (UDP)Arcserve< 10.2（全バージョン）

修正バージョンと回避策

UDP 10.2 は必要なパッチを含んでおり、追加対応は不要です。8.0〜10.1 はサポート対象のため、パッチ適用または 10.2 へのアップグレードを実施してください。7.x 以前はサポート外・保守終了のため、10.2 への移行が必要です。

関連リンク

データソース: NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。

関連する脆弱性

CVE-2025-34520Arcserve UDP の認証バイパスCVSS 9.8

参考リンク

NVD:https://nvd.nist.gov/vuln/detail/CVE-2025-34522
Arcserve:https://support.arcserve.com/s/article/Important-Security-Bulletin-Must-read-for-all-Arcserve-UDP-customers-on-all-versions
Xでシェアはてブ
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC)
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。