人気のパスワード管理製品にXSSの脆弱性 PoC公開でリスク急上昇：セキュリティニュースアラート
人気のパスワード管理製品BitwardenにPDFファイルを通じて悪意あるJavaScriptを実行できるXSSの脆弱性が見つかった。PoCが公開されており、サイバー攻撃者による悪用リスクが高まっているため注意が必要だ。
この記事は会員限定です。会員登録すると全てご覧いただけます。
「GitHub」で「XU」（YZS17）として活動するエンジニア（以降、XU氏と表記）が公開した情報によると、パスワードマネジメントプラットフォーム「Bitwarden」でファイルアップロード機能に関するクロスサイトスクリプティング（XSS）の脆弱（ぜいじゃく）性が存在することが分かった。
同脆弱性は攻撃者が細工したPDFファイルをアップロードすることで、悪意あるJavaScriptコードを実行できる可能性がある。
Bitwardenに未対応のXSS脆弱性 PoC公開でリスク急上昇
報告されている脆弱性のCVE情報は以下の通りだ。
- CVE-2025-5138： XSSの脆弱性。Bitwardenの「Resources」機能におけるファイルアップロード処理が、アップロードされるファイルの種類を適切に制限していないことに起因する。影響を受けるのはPDFファイルの処理コンポーネントで、ユーザーがアップロードされた不正なPDFを「Google Chrome」などのWebブラウザで開くと、埋め込まれたスクリプトがBitwardenのドメイン内で実行される恐れがある。共通脆弱性評価システム（CVSS）v4.0のスコアは5.1、深刻度「警告」（Medium）と評価されている
影響を受けるBitwardenのバージョンは以下の通りだ。
- Bitwarden 2.25.1およびこれ以前のバージョン
XU氏はGitHubに既にPoC（概念実証）を公開しており、攻撃手順を具体的に説明している。この脆弱性についてベンダーに早期に報告しているが、返答は得られなかったという。
XSS脆弱性により、アカウント乗っ取りや認証情報の窃取、被害者の権限を使った不正操作といった被害が発生するリスクがある。特に、ユーザーの操作によってPDFが新規タブやウィンドウで開かれた場合、悪意あるコードが実行されやすくなる。PoCが公開されたことで、この脆弱性が攻撃者に悪用されるリスクが高まっている。
影響を受ける可能性のあるユーザーおよび組織はBitwardenを速やかに最新版にアップデートすることが推奨されている。加えてアップロードされるファイルの種類や内容のチェック、不正なファイルを検出してブロックするための仕組みを導入するなどの追加の対策を実施することも望まれている。
関連記事
「もう手動での対応は無理……」 Linux関連の脆弱性は前年比で967％増加
Action1は2025年版「Software Vulnerability Ratings Report」を発表した。ソフトウェア脆弱性は2024年に前年比61％増加し、既知の悪用件数も96％増加したという。特にLinux関連の脆弱性は前年比で967％増加した。NISTが脆弱性管理の新指標「LEV」を提案 EPSSやKEVより信頼できる？
NISTとCISAの研究員が脆弱性の悪用確率を評価する新指標「LEV」を提案した。LEVはEPSSやKEVの限界を補完し、悪用済みの可能性が高い脆弱性の早期特定を可能にするという。実際どのくらい信頼できるのだろうか。何としても情報を届けたい 三井住友銀行の“ギリギリを攻めた注意喚起”
世の中には詐欺被害撲滅に向けた数多くのコンテンツが発信されていますが、この情報を本当に知ってほしい“被害者予備軍”の人には届いていない厳しい実態があります。今回は少々“過激”なやり方で情報を発信したある事例を紹介します。「VPNではサイバー脅威に対抗できない」 では今後、採用すべき対策は？
VPNが攻撃の起点となるサイバー攻撃が相次ぐ中、VPNに替わって取り入れるべきセキュリティ対策は何か。Zscalerの提言を紹介する。
関連リンク
Copyright © ITmedia, Inc. All Rights Reserved.
人気記事ランキング
- AWSが「サポート終了」情報の見える化を強化 集約ページを公開
- ほぼ全ての主要Android／iOSデバイスに有効 USBを使う攻撃「CHOICEJACKING」とは？
- Amazonが巨額投資を“正当化” AIの「何」に投資しているのか？
- 人気のパスワード管理製品にXSSの脆弱性 PoC公開でリスク急上昇
- ドローンいらず？ 飛行動画作成できる「Google Earth Studio」登場
- NHKシステム再構築はなぜ“失敗”したのか 「メインフレーム大撤退」時代の課題をひも解く
- 「AIは実戦では役立たず」 セキュリティリーダーたちが語る“ホンネ”
- 40種類以上の偽Chrome拡張機能に注意 Chromeウェブストアで依然として公開中
- Windows 11が「MCP」対応って何がすごい？ 本格的なAIエージェント時代が見える
- 「半導体は鎮痛剤と同じ扱い」って、どういうこと？ 米政府“泥縄式”調査の背景
ITmediaはアイティメディア株式会社の登録商標です。