出典: Security NEXT – https://www.security-next.com/176822
Dell CloudLinkに複数のクリティカル脆弱性が発見される
Dellが提供するデータ暗号化および鍵管理ソフトウェア「Dell CloudLink」に、重要度が「クリティカル」と評価される複数の脆弱性が確認されました。これに伴い、Dellはアップデートを公開し、利用者に対して早急な対応を呼びかけています。
主要なポイント
- 複数の脆弱性が確認：合計9件の脆弱性が明らかになり、そのうち2件はサードパーティ製コンポーネントに起因しています。
- 高リスクの脆弱性：権限昇格の脆弱性「CVE-2025-45378」やコマンドラインインターフェースのエスケープ処理不備「CVE-2025-46364」はCVSSv3.1で9.1の高スコアを記録。
- コマンドインジェクションの脆弱性：「CVE-2025-30479」「CVE-2025-45379」もCVSS基本値8.4と高いリスクが評価されています。
- サードパーティ製ソフトの脆弱性対応：OpenSSHの脆弱性「CVE-2025-26465」「CVE-2025-26466」も含まれています。
- 修正バージョンの明示：「Dell CloudLink 8.2」以降のバージョンでこれらの脆弱性は修正済みです。
技術的な詳細や背景情報
Dell CloudLinkは、企業のデータ保護に不可欠な暗号化および鍵管理機能を提供するソフトウェアです。今回の脆弱性には、以下のような種類が含まれています。
- 権限昇格（Privilege Escalation）：攻撃者が本来持たない高い権限を取得できる脆弱性で、システムの完全制御を許す恐れがあります。
- コマンドインジェクション（Command Injection）：不正なコマンドをシステムに実行させる攻撃で、システムの乗っ取りや情報漏洩につながります。
- エスケープ処理の不備：コマンドラインインターフェースでの入力値の適切な処理がされておらず、悪意ある入力がそのまま実行されるリスクがあります。
- サードパーティ製コンポーネントの脆弱性：OpenSSHは広く利用されるSSHプロトコルの実装で、これに存在する脆弱性もDell CloudLinkに影響を与えています。
これらの脆弱性は、共通脆弱性評価システム（CVSSv3.1）によりリスクが数値化されており、9.1や8.4という高スコアは即時の対応が必要な深刻な問題であることを示しています。
影響や重要性
Dell CloudLinkは企業の重要なデータを暗号化し、鍵管理を行うための基盤技術です。これらの脆弱性が悪用されると、以下のような深刻な影響が考えられます。
- 攻撃者によるシステム権限の不正取得
- 機密情報の漏洩や改ざん
- サービスの停止や業務への重大な支障
特に、権限昇格やコマンドインジェクションは攻撃の起点となりやすく、企業のセキュリティ体制に大きな穴を生じさせるため、迅速なアップデート適用が不可欠です。
まとめ
Dell CloudLinkにおける複数のクリティカルな脆弱性は、企業のデータ保護に直接的なリスクをもたらします。Dellは「Dell CloudLink 8.2」以降で修正を完了しているため、利用者は速やかに最新バージョンへのアップデートを行うことが強く推奨されます。セキュリティの基本であるソフトウェアの適切な更新は、サイバー攻撃から企業資産を守る最も効果的な防御策の一つです。
