CVE-2025-29557 – ExaGrid MailConfiguration API 資格情報漏洩

📝 概要

脆弱性タイトル: MailConfiguration API を介した SMTP 資格情報漏洩
製品: ExaGrid EX10 バックアップアプライアンス
影響を受けるバージョン: 6.3～7.0.1.P08
CVE ID: CVE-2025-29557
深刻度: 高
攻撃ベクトル: リモート（認証済み）
影響: 情報漏洩 – 平文の SMTP 資格情報

---

🧨 説明

ExaGrid EX10 アプライアンスの MailConfiguration API エンドポイント に、重大なアクセス制御の欠陥が存在します。オペレーターレベルの権限 を持つ認証済みユーザーが、このエンドポイントに細工された HTTP リクエストを送信すると、SMTP 設定の詳細（平文の SMTP パスワード を含む）を取得できます。

これは権限境界の明確な違反であり、オペレーターの役割は機密の資格情報にアクセスすることを意図していません。

---

🔬 攻撃ベクトル

🔹 直接的な API リクエスト操作

• オペレーターレベルのアクセスを持つユーザーが、MailConfiguration API に GET リクエストを送信します。
• API は SMTP ユーザー名とパスワードを 平文で 含む完全な JSON ペイロードを返します。

🔹 API のスクレイピングまたは列挙

• プログラムによるアクセスを持つ攻撃者は、複数のアプライアンスやエンドポイントを大規模にクエリできます。
• 特に大規模な展開において、環境全体での資格情報の収集を可能にします。