1. セキュリティ対策ラボ
  2. セキュリティニュース
  3. 情報セキュリティ
  4. Dell Storage Managerに深刻な認証回避の脆弱性（CVE-2025-43995）-未認証で管理APIに到達の恐れ

Dell Storage Managerに深刻な認証回避の脆弱性（CVE-2025-43995）-未認証で管理APIに到達の恐れ

セキュリティニュース

投稿日時: 更新日時:

dell-storage-manager-auth-bypass-cve-2025-43995

2025年10月 Dell Technologiesは、Storage Center／Dell Storage Manager（DSM）に複数の脆弱性が見つかったとして、セキュリティアドバイザリ「DSA-2025-393」を公開し、修正版ソフトウェアを提供しました。最も重大な不具合はCVE-2025-43995（CVSS 9.8／Critical）で、未認証のリモート攻撃者が保護機構をバイパスして管理系APIへアクセスできる可能性があります。

加えて、CVE-2025-43994（CVSS 8.6）の認証欠如による情報漏えい、CVE-2025-46425（CVSS 6.5）のXXE（XML外部実体参照）問題も公表されました。Dellは影響を受ける顧客に対し、DSMを「2020 R1.22」以降へ速やかに更新するよう強く推奨しています。

影響範囲と修正

  • 対象製品：Dell Storage Manager（DSM） と Storage Center（SCシリーズ／SCvシリーズ） の管理対象環境
    例：SC100／SC120／SC180／SC400／SC420／SC460／SC5020／SC5020F／SC7020／SC7020F／SC8000／SC9000／SCv2000／SCv2020／SCv2080／SCv3000／SCv3020 など。

  • 影響バージョン

    • DSM 20.1.21（CVE-2025-43995／43994）

    • DSM 20.1.20（CVE-2025-46425）

  • 修正バージョン：DSM 2020 R1.22 以降（Dellはこの版以降への更新を推奨）

  • 公開・更新履歴：2025年10月24日 初版公開／同日 修正版表記を「2020 R1.22 以降」に更新

  • 報告者：CVE-2025-43994／43995は Tenable、CVE-2025-46425は Ahmed Y. Elmogy が報告

何が問題か

  • CVE-2025-43995：不適切な認証（Improper Authentication）

    • 影響バージョン：Dell Storage Manager 20.1.21

    • 内容：DSM Data Collector が展開する ApiProxy.war（DataCollectorEar.ear内） に関連し、特定の SessionKey と UserId を用いることで、未認証のまま内部APIにアクセスできる状態でした。これらのUserIdは compellentservicesapi に特別用途として作成されている「特別ユーザー」で、攻撃者は通常のログイン制御を迂回して管理機能に到達し得ます。

    • 影響度：CVE-2025-43995（CVSS 9.8／Critical）

  • CVE-2025-43994：重大機能への認証欠如（Missing Authentication for a Critical Function）

    • 影響バージョン：DSM 20.1.21

    • 内容：Web管理インターフェースの重要バックエンド操作の一部に認証不備があり、有効な資格情報なしで機密設定や運用情報を照会できる可能性があります。

    • 影響度：CVSS 8.6（情報漏えい中心）。

  • CVE-2025-46425：XXE（Improper Restriction of XML External Entity）

    • 影響バージョン：DSM 20.1.20

    • 内容：管理APIにおけるXML解析の入力検証が不十分で、低権限のリモート利用者でもサーバ側リクエスト実行（SSRF）や任意ファイル読取に繋がるおそれがあります。

    • 影響度：CVSS 6.5。

      関連記事

      脅威アクター Menelik Dell（デル）が不正アクセスにより4900万人の個人情報漏洩の可能性 Dellへ不正アクセスと情報 漏洩疑惑 2024年9月に3回発生かDellへ不正アクセスと情報漏洩の疑惑 2024年9月に3回発生か SAP、11月の月例パッチで緊急2件を含む20件を修正-(CVE-2025-4289,CVE-2025-42887)SAP、11月の月例パッチで緊急2件を含む20件を修正-(CVE-2025-4289,CVE-2025-42887) Default ThumbnailVeeamのVeeam Backup Enterprise Managerで重大な認証バイパスのバグを警告（CVE-2024-29849） Default ThumbnailF5のBIG-IP Next Central Managerで脆弱性 デバイス乗っ取りが可能に(CVE-2024-26026、CVE-2024-21793) Adobe Experience Manager Formsに重大な脆弱性(CVE-2025-54253,CVE-2025-54254)Adobe Experience Manager Formsに重大な脆弱性(CVE-2025-54253,CVE-2025-54254) Splunkで重大な脆弱性、対象者はアップデートを推奨(CVE-2025-20229、CVE-2025-20231)Splunkで重大な脆弱性、対象者はアップデートを推奨(CVE-2025-20229、CVE-2025-20231) Moxa 産業用アプライアンスに複数の深刻な脆弱性(CVE-2025-6892、-6893、-6894、-6949、-6950)Moxa 産業用アプライアンスに複数の深刻な脆弱性(CVE-2025-6892、-6893、-6894、-6949、-6950) CISA、D-Link製EOL監視カメラ等に関する3件の深刻な脆弱性を既知の悪用済み脆弱性カタログに追加CISA、D-Link製EOL監視カメラ等に関する3件の深刻な脆弱性を既知の悪用済み脆弱性カタログに追加