SmarterMailの重大な欠陥により、攻撃者がリモートコードを実行可能に

SmarterToolsは、広く利用されている同社のSmarterMailソフトウェアにおける重大な脆弱性について、緊急のセキュリティ勧告を発表しました。

この欠陥は最高レベルの深刻度スコアを持ち、認証されていない攻撃者が影響を受けるメールサーバーを完全に乗っ取ることを可能にする恐れがあります。

この脆弱性はCVE-2025-52691として追跡されており、CVSS v3.1スコアは10.0と評価され、最大の深刻度を示しています。SmarterMailのBuild 9406以前のバージョンに影響します。

サイバーセキュリティ庁によると、このセキュリティ上の欠陥は任意のファイルアップロードの弱点に起因します。簡単に言えば、このソフトウェアはサーバーにアップロードできるファイルの種類を適切に確認または制限できていません。

この不備により、攻撃者はログインや事前のアクセス権を必要とせず、メールサーバーのファイルシステム上の任意の場所に悪意のあるファイルをアップロードできてしまいます。

悪意のあるファイルがアップロードされると、攻撃者はそれを実行してリモートコード実行（RCE）を達成できます。

これは企業セキュリティにとって最悪のシナリオです。RCE機能により、ハッカーはメールサーバーソフトウェアと同じ権限でコマンドを実行できます。これにより、次のような事態につながる可能性があります。

• データ窃取: 機密メール、連絡先リスト、添付ファイルへのアクセス。
• サーバー乗っ取り: ランサムウェア、バックドア、その他のマルウェアのインストール。
• ネットワーク内での横展開: 侵害されたメールサーバーを足がかりに、内部ネットワーク上の他のデバイスを攻撃すること。

SmarterToolsはこの問題を修正するパッチをリリースしました。ユーザーおよび管理者には、直ちにSmarterMail Build 9413へ更新することが強く推奨されます。

この攻撃が「認証不要」である性質を踏まえると、インターネットに公開されているサーバーは、更新されるまで直ちにリスクにさらされます。

この脆弱性は、Centre for Strategic Infocomm Technologies（CSIT）のChua Meng Han氏によって発見されました。

シンガポールのサイバーセキュリティ庁（CSA）は、協調的な情報開示を通じて問題を解決するにあたり、迅速に連携したSmarterTools Inc.を評価しています。