#CVE-2025-56513

NiceHash QuickMiner のアップデートメカニズムにおける重大なサプライチェーン脆弱性

作成者: Prince T Philip 役割: 独立系セキュリティ研究者深刻度: CRITICAL — CVSS 9.8 影響: リモートコード実行 / サプライチェーン侵害ステータス: 公開済み & CVE-2025-56513 採番済み

エグゼクティブサマリー

CVE-2025-56513 は、NiceHash QuickMiner v6.12.0 で発見された重大な脆弱性であり、リモートの攻撃者がソフトウェアアップデートプロセスを侵害し、被害者のマシン上で任意のコードを実行できるようにするものです。

根本原因は、アプリケーションがアップデート配信に暗号化されていない HTTP を使用していることと、デジタル署名の検証や整合性チェックが存在しないことです。この設計上の欠陥により、ネットワークレベルの攻撃者は中間者攻撃 (MITM) を実行し、正規のアップデートを悪意のあるペイロードに置き換えることができます。

本脆弱性は深刻なソフトウェアサプライチェーンリスクを表しており、世界中のユーザーに影響を及ぼします。

影響を受ける製品

製品: NiceHash QuickMiner

バージョン: v6.12.0

コンポーネント: 自動アップデートメカニズム

プラットフォーム: Windows

攻撃ベクトル: ネットワーク (MITM)

技術的な詳細

根本原因

アップデートワークフローは、以下の安全でない操作を実行します:

暗号化されていない HTTP でアップデートメタデータを取得する
暗号化されていない HTTP でアップデートバイナリをダウンロードする
以下を検証せずにアップデートを適用する:

デジタル署名

暗号学的ハッシュ

発行元の正当性

これは、安全なアップデートの基本原則に違反しています。

脆弱性クラス

CWE-319: 機密情報の平文送信

CWE-494: 整合性チェックなしのコードのダウンロード

CWE-353: 整合性チェックのサポートの欠如

攻撃シナリオ

被害者と同じネットワーク上に位置する攻撃者 (公共 Wi-Fi、侵害されたルーター、ISP レベルの攻撃者など) は、以下のことが可能です:

HTTP アップデートリクエストを傍受する
正規のアップデートを悪意のあるバイナリに置き換える
改変されたペイロードを被害者に配信する
完全なリモートコード実行を達成する

QuickMiner は通常、昇格された特権で実行されるため、攻撃者はシステムレベルの制御を獲得します。

これにより、アップデートメカニズムは武器化されたマルウェア配信チャネルと化します。

世界的な影響

NiceHash QuickMiner は、暗号通貨マイニング業務のために、大規模な国際ユーザーベースで使用されています。そのため、本脆弱性は以下を危険にさらします:

個人ユーザー

マイニングファーム

エンタープライズ規模の展開

クラウドホスト型マイニングインフラストラクチャ

これは、世界的なサプライチェーン曝露を意味します。

CVSS スコア

CVSS v3.1 ベーススコア: 9.8 (CRITICAL) ベクター: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

推奨される是正措置

アップデートシステムを適切に保護するには、ベンダーは以下を実施する必要があります:

すべてのアップデート通信に HTTPS/TLS を強制する
強力な暗号署名検証を実装する
SHA-256 以上の強力なハッシュを使用して整合性を検証する
検証に失敗したアップデートを拒否する
アップデートサーバーに証明書ピンニングを採用する

研究者の声明

本脆弱性は、業界における根強い失敗を浮き彫りにしています: アップデートメカニズムは、現代のソフトウェアセキュリティにおいて最も弱いリンクの一つであり続けています。

CVE-2025-56513 は、たった一つの設計上の見落としが、世界中のユーザーベース全体を気付かれない侵害にさらす可能性があることを示しています。

参照

CVE レコード: CVE-2025-56513

NiceHash QuickMiner v6.12.0

作成者

Prince T Philip 独立系セキュリティ研究者攻撃的セキュリティ & サプライチェーン脆弱性を専門とする

結び

本調査は、グローバルなソフトウェアセキュリティの向上と、構造的なサプライチェーン侵害からユーザーを保護することに資するために公開されています。

責任ある開示手順が遵守されました。

CVE-2025-56513-NiceHash-Update-Chain-Compromise

人気