プラットフォーム
other
コンポーネント
kyocera-net-admin
CVE-2019-25254は、KYOCERA Net Admin 3.4.0906に存在するクロスサイトリクエストフォージェリ（XSRF）脆弱性です。この脆弱性を悪用されると、攻撃者は認証済みのユーザーの権限を悪用し、管理者アカウントを不正に作成することが可能です。影響を受けるバージョンは3.4.0906です。現在、この脆弱性に対する修正バージョンが提供されています。
このXSRF脆弱性は、攻撃者がKYOCERA Net Adminの管理インターフェースにアクセスできる認証済みユーザーのセッションを悪用することを可能にします。攻撃者は、巧妙に作成されたWebページを通じて、管理者アカウントの作成リクエストを自動的に送信できます。これにより、攻撃者はシステムへの不正アクセス権を取得し、設定の変更、機密データの窃取、さらにはシステム全体の制御を奪う可能性があります。この脆弱性は、特に管理者権限を持つアカウントが標的にされる可能性が高いため、組織全体への影響が及ぶ可能性があります。
CVE-2019-25254は、2025年12月24日に公開されました。現時点では、この脆弱性を悪用する公開されているPoCは確認されていませんが、XSRF攻撃は比較的容易に実行可能なため、攻撃者による悪用リスクは存在します。CISA KEVリストへの登録状況は不明です。
Organizations utilizing KYOCERA Net Admin version 3.4.0906, particularly those with limited network segmentation or weak access controls, are at significant risk. Shared hosting environments where multiple users share the same KYOCERA Net Admin instance are also particularly vulnerable.
disclosure
エクスプロイト状況
EPSS
0.01% (2% パーセンタイル)
CISA SSVC
CVSS ベクトル
この脆弱性への対応策として、まずKYOCERA Net Adminを最新バージョンにアップデートすることを推奨します。アップデートが利用できない場合は、Webアプリケーションファイアウォール（WAF）を導入し、XSRF攻撃を検知・防御するルールを設定してください。また、管理者アカウントのパスワードポリシーを強化し、多要素認証を有効にすることで、攻撃の影響を軽減できます。さらに、ユーザーへのセキュリティ教育を実施し、不審なWebサイトへのアクセスやリンクのクリックを避けるよう促すことが重要です。
修正されたバージョンの KYOCERA Net Admin にアップデートしてください。 利用可能なアップデートと軽減策については、Kyocera のページを参照してください。
脆弱性分析と重要アラートをメールでお届けします。
CVE-2019-25254は、KYOCERA Net Admin 3.4.0906に存在するクロスサイトリクエストフォージェリ（XSRF）脆弱性であり、攻撃者が管理者アカウントを不正に作成できる可能性があります。
はい、バージョン3.4.0906を使用している場合は影響を受けます。攻撃者は、認証済みのユーザーの権限を悪用して管理者アカウントを作成し、システムへの不正アクセスを試みる可能性があります。
KYOCERA Net Adminを最新バージョンにアップデートすることが推奨されます。アップデートが利用できない場合は、WAFの導入やパスワードポリシーの強化などの対策を講じてください。
現時点では、公開されているPoCは確認されていませんが、XSRF攻撃は比較的容易に実行可能なため、悪用リスクは存在します。
KYOCERAの公式アドバイザリは、KYOCERAのサポートサイトまたはセキュリティ情報ページで確認できます。