OpenEdge AdminServer Arbitrary File Read Vulnerability (CVE-2025-7389) and Mitigation

OpenEdge AdminServer 任意ファイル読み取り脆弱性サマリー 脆弱性概要 脆弱性名称：OpenEdge AdminServer 任意ファイル読み取りセキュリティ更新 (CVE-2025-7389) 脆弱性の種類：任意ファイル読み取り (Arbitrary File Read) 脆弱性の説明：ホストシステムのOS権限を持つ認証済みOSユーザーは、AdminServer RMIインターフェースを使用して、標準のOSファイル権限チェックをバイパスし、ホストシステム上の任意のファイルを読み取ることができます。 トリガー条件： 1. 攻撃者がホストシステムのOS権限を有していること。 2. 攻撃者が認証済みユーザー（通常、OSユーザーを指す）であること。 3. 対象システムにパッチが適用されていない、または緩和策が有効化されていないこと。 影響範囲 影響を受けるバージョン： OpenEdge 12.2.17 およびそれ以前のバージョン OpenEdge 12.8.9 およびそれ以前のバージョン 修正バージョン： OpenEdge 12.8.11 OpenEdge 12.9.11 修復方策 1. ソフトウェアアップグレード（推奨） OpenEdge 12.8.11、OpenEdge 12.9.11、またはそれ以降のバージョンにアップグレードします。 これらのバージョンではRMIメソッドがデフォルトで無効化されており、脆弱性が解消されます。 2. 一時的緩和策（即時アップグレードが不可能なシステム向け） A. ネットワーク分離（推奨） ネットワーク分離と制御された管理アクセス権限を組み合わせることで、攻撃表面を大幅に削減できます。 Linux ファイアウォールルールの例： 以下のルールは、特定のOSユーザーのみがループバックインターフェース ( ) を介してAdminServer RMIポートにアクセスすることを許可し、その他のすべてのユーザーをブロックします。 重要事項： この緩和策はローカルループバックアクセスにのみ適用されます。 ルール設定において、「ブロック」ルールよりも前に「許可」ルールを追加する必要があります。 全コマンドは または 権限を持つユーザーとして実行する必要があります。 ルールは再起動後も永続化されません。システム設定に応じてルールを保存してください（例： の使用）。 B. Windows システム向け緩和策 Windows には、Linux の に相当する、ユーザーベースの送信TCPフィルタリングメカニズムは提供されていません。 より細やかな制御には Windows Defender ファイアウォール と Windows Filtering Platform (WFP) の併用を推奨しますが、これにはカスタムドライバの開発が必要であり、組み込み管理ツールの範囲外となります。 参考リンク： https://learn.microsoft.com/en-us/windows/win32/fwp/basic-operation https://learn.microsoft.com/en-us/windows/win32/fwp/windows-filtering-platform-architecture-overview C. UNIX (Linux以外) システム (HP-UX, AIX, Solaris) 上記のLinux向け緩和策は、これらのプラットフォームでユーザーIDベースの送信トラフィックフィルタリングがサポートされていないため適用できません。 ホストファイアウォールはパケットレベルで動作するため、元のOSユーザーを区別することができません。 各プラットフォーム固有のアドバイスについては、Progress サポートテクニカルチームまでお問い合わせください。 その他の注意事項 リモートRMIアクセスを有効にするとセキュリティリスクが高まるため、必要な場合にのみ有効にし、上記の緩和策を併用してください。 現在メンテナンス契約が有効な顧客様は、Progress クラウドポータルにログインしてアップグレード版を取得できます。 メンテナンス契約が期限切れまたは有効でない顧客様は、OpenEdge カスタマーリプレゼンティブまでご連絡ください。 さらにサポートが必要な場合は、テクニカルサポートケースを起票してください。

目標達成 すべての支援者に感謝 — 100%達成しました！

OpenEdge AdminServer Arbitrary File Read Vulnerability (CVE-2025-7389) and Mitigation

目標達成すべての支援者に感謝 — 100%達成しました！