CVE-2025-65925 — Zeroheightのアカウント作成フローにおける不適切なアクセス制御

公開日: 2025-06-11
ベンダー修正日（ベンダーによる）: 2025-06-13
研究者検証日: 2025-06-26
発見者: Sneden Rebello

---

概要

レガシーなユーザー作成API経路により、意図されたメール検証ステップを完了せずにアカウントが作成される可能性がありました。未検証のアカウントは製品機能にアクセスできませんでしたが、このバイパスは設計上の検証およびアクセス制御フローに違反し、意図しないアカウント（スパム/偽登録など）の作成を可能にしました。

影響範囲: 認証されていないサインアップフローのみ。
データ漏えい: 確認なし。既存ユーザーデータやセッションへのアクセスはありません。

---

影響（概要）

• 意図された検証制御の外でのアカウント作成
• スパム/偽アカウントの大量作成とリソース/リソース使用量への影響の可能性
• より広範な脅威モデルにおいて、ソーシャルエンジニアリングや連鎖的な攻撃シナリオに寄与する可能性

MITRE影響分類: サービス拒否（意図しないアカウント作成によるリソース枯渇）

推定重大度: 中（認証/検証ロジックのバイパス。直接のデータ漏えいはなし）

CVSS v3.1ベクター: AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:L
CVSS基本値: 6.5（中）

---

CVE分類（MITRE）

• 脆弱性タイプ: 不適切なアクセス制御
• 攻撃タイプ: リモート
• 攻撃ベクトル: ネットワーク – HTTPS上のレガシーなユーザー作成経路への認証されていないアクセス
• 影響を受けるコンポーネント: ユーザーアカウント作成および検証プロセス（レガシーな検証バイパス経路）
• ベンダー確認: あり

---

影響を受ける製品

• 製品: Zeroheight（SaaSプラットフォーム）
• バージョン: zeroheight（SaaS） – 2025-06-13より前のインスタンス（ベンダー承認済みの公開バージョン文字列）

---

軽減策（ベンダー）

ベンダーは以下の方法で問題を解決しました：

1. すべてのアカウント作成フローで有効な検証トークンを必須化
2. 新しいアカウント登録を処理する前の検証チェックを改善

これらの変更により、意図されたメール検証プロセスを完了した後にのみアカウントを作成できるようになります。
プラットフォームの利用者は、現在のサービスバージョンを利用していることを確認する以外に必要な対応はありません。

---

タイムライン

注: 透明性のため、ベンダーの**内部修正日（2025-06-13）と研究者検証日（2025-06-26）**の両方を記録しています。

---

クレジット

• 研究者: Sneden Rebello (GitHub),(LinkedIn)
• ベンダー調整: Zeroheight セキュリティおよびエンジニアリングチーム

---

CVE

CVE-2025-65925 は cve.org で公開されています。
このアドバイザリは、このCVEに関連する公開情報を反映しています。

---

参考情報

• このアドバイザリ (公開)
• 追加のベンダーコンテキストは、ベンダーの要請により非公開で保持されています

---

開示ポリシー

これは調整された脆弱性開示に従っています。公開される詳細は、ベンダーの要請により意図的に高レベルに保たれており、内部識別子、インフラストラクチャの詳細、エンドポイント固有の情報は含まれていません。詳細については DISCLOSURE_POLICY.md を参照してください。