Prosody XMPP Server Security Advisory: CVE-2025-9975/9976/9977 (DoS & Unauth Proxy)

Prosody XMPP サーバーセキュリティアドバイザリサマリー (2026-04-29) 脆弱性概要 本 advisories は、Prosody XMPP サーバーソフトウェアにおける2つのセキュリティ脆弱性に関連しています： 1. メモリ枯渇によるサービス拒否 (DoS)：攻撃者は認証されていないトラフィックを少量送信することで、サーバーのメモリを大量に消費させることができます。 2. 認証不要の SOCKS5 プロキシ使用 (mod_proxy65)：アクセス制御に欠陥があるため、認証されていないユーザーがプロキシを通じてデータを送信できるようになっています。 影響範囲 影響を受けるバージョン：13.0.5 より前のすべてのバージョン。 修正バージョン：12.6 および 13.0.5。 修復策 ソフトウェアのアップグレード：すべての Prosody ユーザーは、13.0.5 または 12.6 にアップグレードすることを推奨します。 ファイアウォールによる制限： システムのファイアウォールを設定し、接続速度と総接続数を制限します。 の使用例： iptables/nftables の 機能を使用して、IP ごとに接続数を制限します。 レート制限の緩和：Prosody の接続ごとの帯域幅レート制限を大幅に引き下げることを推奨しますが（元の報告ブログ参照）、これによりリソース消費が増加する可能性があります。 mod_proxy65 の無効化：ファイル転送機能が必要ない場合、 を無効にすることができますが、これによりファイル転送機能が影響を受ける可能性があります。 詳細な脆弱性情報 1. メモリ枯渇によるサービス拒否 (DoS) CVE：CVE-2025-9975, CVE-2025-9976 CVSS：7.5 (AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H) 説明： 特定のトラフィックパターンにより、Prosody が過剰なメモリを消費することが発見されました。これは、トラフィック量が少ない場合でも発生します。 Prosody の接続ごとのレート制限保護は、メモリ使用量と転送データ量の増幅効果により脆弱化しています。 Prosody は総接続数に対する制限を強制していないため、攻撃者は同時接続数を増やすことで影響を拡大できます。 この攻撃は、接続ごとのリソース消費問題を示しており、ストリーム終了後も接続がリソースを消費し続ける可能性があります。 修復： 認証されていないストリームの stanza 大きさに制限を設けました。 4つのメモリリーク（認証されていないもの2つ、認証されたもの2つ）を修正しました。 IPごとの接続制限を構成できる機能を導入しました（実験的なステータスであり、システムファイアウォールを優先して使用することを推奨します）。 2. 認証不要の SOCKS5 プロキシ使用 (mod_proxy65) CVE：CVE-2025-9977 CVSS：5.3 (AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L) 説明： のアクセス制御は破損しており、不完全です。 デフォルトのネットワークバックエンドの変更により、 は「一時停止中」と見なされている接続が実際にはデータを送信できる状態になっています。 は、プロトコルの検出段階でのみアクセス制御ルールをチェックし、アクティブ化段階ではチェックしません。プロキシのドメイン名とポートを推測できるエンティティは、検出段階をスキップしてプロキシを使用できます。 制限： はファイル転送やその他のバイナリーストリームの促進を目的としており、汎用の SOCKS5 プロキシではありません。 送信側接続を実行しないため、攻撃者の接続を任意のエンドポイントに転送するために悪用される可能性があります。 双方がプロキシへの接続を確立し、SOCKS5 ハンドシェイクを実行する必要があります。 修復： 認証されていない接続の問題を修正しました。 * 不足していた認可（認証）の問題を修正しました。

目標達成 すべての支援者に感謝 — 100%達成しました！

Prosody XMPP Server Security Advisory: CVE-2025-9975/9976/9977 (DoS & Unauth Proxy)

目標達成すべての支援者に感謝 — 100%達成しました！