30秒で判断
- 対応すべき人: aaPanel BillionMail（メールサーバー管理パネル）を運用しているシステム管理者
- 対応不要な人: aaPanel BillionMailを使用していない、またはベンダーから修正情報が出た段階でアップデート済みの人
- 確認コマンド: BillionMailの管理画面またはインストールディレクトリでバージョン情報を確認してください
概要
aaPanel社のメールサーバー管理パネル「BillionMail」には、4.9までのバージョンにおいて、Relay設定API（core/api/relay/v1/relay.go）が持つ未知の機能に不備が確認されました。
helo_name パラメータを操作することでインジェクションが発生する可能性があり、遠隔から攻撃を実行できるとされています。この脆弱性についてはExploitが既に公開されており、悪用が比較的容易な状況にあると考えられます。なお、ベンダーには早期に連絡が行われましたが、本情報の時点では応答がない状態です。
CVSSベクトル
| 項目 | 値 |
|---|---|
| CVSSスコア | 7.4 (High) |
| CVSSバージョン | 3.1 |
| CWE | CWE-74（データ構造や命令への特殊要素の不適切な中和）, CWE-707（不適切な中和の強制） |
影響を受けるソフトウェア
| 製品 | 影響を受けるバージョン | 修正バージョン |
|---|---|---|
| BillionMail | <= 4.9 | 未提供（本情報時点） |
修正バージョンと回避策
- 本情報の時点でベンダーから修正バージョンは提供されていません。公式情報を継続して確認してください。
- 回避策として、Relay Configuration API（
core/api/relay/v1/relay.go）へのアクセスを信頼できるネットワーク・管理者のみに制限することを推奨します。 helo_nameパラメータを外部から直接操作できないよう、リバースプロキシやWAFでの入力検証・フィルタリングの追加も検討してください。- Exploitが公開されているため、該当機能を公開していないか早急に確認することを推奨します。
関連リンク
データソース: NVD (NIST) AI解説はClaude APIにより自動生成されています。正確性については原文をご確認ください。