ゼロデイ脆弱性の恐ろしさ

RocketBoysは『日経新聞の報道によると、2025年4月18日、インターネットイニシアティブ（IIJ）に対するサイバー攻撃に関し、メールサービスに利用されていたクオリティア社のWebメールシステム「Active! mail」に、開発元すら把握していなかったゼロデイ脆弱性（CVE-2025-42599）が存在し、この欠陥を突いた侵入の可能性が指摘されています。』と報道している。

IIJは4月15日に、同社が提供するメールサービスにおいて、最大400万人分の個人情報が流出した可能性があると公表しています。IIJ側は「現時点ではコメントできない」としていますが、クオリティア社は16日に公式サイト上で脆弱性を修正した新バージョンの適用を呼びかける緊急対応を実施。JPCERT/CCも18日に、この脆弱性を突いた攻撃が既に発生していることを確認し、警告を発出しています。

IIJは4月22日の続報でメールアドレス約31万件と586契約の情報漏洩を確認していますので、この原因がWebメールシステムの脆弱性を攻撃されたものという話になりそうです。

ゼロデイ脆弱性（CVE-2025-42599）は、JPCERT/CCを見ると、スタックベースのバッファオーバーフローで、サービス停止以外に、遠隔からの任意コード実行（RCE）が可能ということで、ここが狙われたものと思われます。

この脆弱性を攻撃できるのは、かなり高度な攻撃手法を使うクラッカーだと思われ、鉄壁の防御体制を敷いていても、蟻の一穴を突かれてしまうゼロデイアタックの怖さを感じました。

https://rocket-boys.co.jp/security-measures-lab/iij-cyberattack-active-mail-zero-day-cve-2025-42599/

IIJへの不正アクセスによるサイバー攻撃、Active! mailのゼロデイ脆弱性を悪用か

https://jvn.jp/jp/JVN22348866/

Active! mailにおけるスタックベースのバッファオーバーフローの脆弱性