重要な脆弱性情報 アドバイザリ ID: SYSS-2025-035 製品: URVE Web Manager メーカー: Evoe 影響を受けるバージョン: 27.02.2025 テスト済みバージョン: 27.02.2025 脆弱性の種類: サーバーサイドリクエストフォージェリ (CWE-918) 解決状況: 修正済み CVE 参照: CVE-2025-36845 脆弱性の概要 URVE Web Manager は、Evoe の Smart Office スイートの管理用 Web アプリケーションです。バックエンドのエンドポイントが未認証のユーザーから暴露されているため、このアプリケーションはサーバーサイドリクエストフォージェリ（SSRF）攻撃に対し脆弱です。 脆弱性の詳細 エンドポイントでは SSRF が可能です。このエンドポイントは URL を入力として受け取り、そのアドレスへリクエストを送信し、レスポンスの内容を反射します。 概念実証 (PoC) 以下の HTTP GET リクエストは、 エンドポイントを使用した SSRF 攻撃を示しています： 解決策 以下のすべてのエンドポイントへの外部リクエストをブロックする。 最新バージョンにアップデートする。 開示タイムライン 2025-04-01: 脆弱性を発見 2025-04-05: メーカーへの脆弱性報告 2025-06-02: メーカーによるパッチ公開 2025-07-17: 公開による脆弱性開示 参考資料 [1] URVE Smart Office 製品ウェブサイト: https://smartoffice.expert/en/ [2] SySS セキュリティアドバイザリ SYSS-2025-035: https://www.syss.de/fileadmin/dokumente/Publikationen/Advisories/SYSS-2025-035.txt [3] SySS 責任ある開示ポリシー: https://www.syss.de/en/responsible-disclosure-policy 謝辞 このセキュリティ脆弱性は、SySS GmbH の Stefan Krause によって発見されました。