Zoom、「Zoom Rooms」の脆弱性を修正するアップデート(CVE-2025-67460)|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2025年12月16日更新日時: 2025年12月16日

Zoom Video Communicationsは2025年12月、会議室向けソフトウェア「Zoom Rooms」のセキュリティ更新を公開しました。今回のアップデートでは、Windows版における深刻な権限昇格の脆弱性（CVE-2025-67460）と、macOS版での情報漏えいにつながるおそれがある脆弱性（CVE-2025-67461）が修正されています。いずれもバージョン6.6.0で解消されており、管理者は早急なアップデートが求められます。

1 Windows版Zoom Rooms：ダウングレード保護の不備で権限昇格の可能性
2 macOS版Zoom Rooms：ファイルパス操作による情報漏えいのリスク
3 管理者が取るべき対策

Windows版Zoom Rooms：ダウングレード保護の不備で権限昇格の可能性

Zoomのセキュリティ情報（ZSB-25050）によると、CVE-2025-67460 は「Protection Mechanism Failure of Software Downgrade」と説明されており、Windows版Zoom Roomsのソフトウェア・ダウングレード保護に不備があったことが原因とされています。

本来、ソフトウェアのダウングレードは、既知の脆弱性を含む旧バージョンへの巻き戻りを防ぐため、厳しく制御されるべき処理です。しかし、この不備を悪用されると、ローカルアクセスを持つ攻撃者が意図的にZoom Roomsを脆弱な旧バージョン相当の状態にし、結果としてSYSTEM相当の高い権限を取得できる可能性があるとされています。

この脆弱性のCVSSスコアは 7.8（High） と評価されており、会議室の専用端末や共有PCでZoom Roomsを運用している環境では、内部犯行や侵害後の横展開に悪用されるリスクがあります。

対象製品：Zoom Rooms for Windows 6.6.0 未満
対応：6.6.0 以降へのアップデート

macOS版Zoom Rooms：ファイルパス操作による情報漏えいのリスク

同じく今回の更新では、macOS版Zoom Roomsに存在する CVE-2025-67461 も修正されています。こちらは「External Control of File Name or Path」に分類される脆弱性で、Zoomのアドバイザリでは「ローカルアクセスを持つ認証済みユーザーが、ファイル名やパスの扱いを悪用することで情報漏えいを引き起こす可能性がある」と説明されています。

想定されるシナリオとしては、macOS端末にログインできるユーザーが、Zoom Roomsが参照するパスを細工し、本来は閲覧できない設定ファイルやログファイルを読み取る、といったケースが考えられます。CVSSスコアは 5.0（Medium） 程度とされていますが、会議室用端末にはネットワーク設定や認証情報など、環境によっては機密度の高い情報が残っている場合もあるため、軽視はできません。

対象製品：Zoom Rooms for macOS 6.6.0 未満
対応：6.6.0 以降へのアップデート

管理者が取るべき対策

Zoomは公式サイトで提供している最新版への更新を強く推奨しており、特に会議室向け機器を集中管理している企業・団体は、次の点を確認する必要があります。

Zoom Roomsのバージョン確認と一斉アップデート
すべての会議室端末でZoom Roomsのバージョンを確認し、Windows／macOSともに6.6.0以上へ更新します。古いイメージを使ってキッティングしている場合は、そのイメージ自体の更新も検討すべきです。
ローカルアクセス権限の見直し
今回の脆弱性はいずれもローカルアクセスが前提です。会議室端末に一般利用者が自由にログインできないよう、ローカル管理者アカウントや共有アカウントの管理状況を改めて確認します。
会議室端末に保存されている情報の棚卸し
設定ファイルやログに、認証情報や内部URLなどの機密情報が残っていないか、保存内容を点検し、不要な情報は削除・マスキングを行います。
パッチ管理プロセスの強化
Zoom Roomsに限らず、会議室端末は通常の業務PCとは別管理になりがちです。OS・アプリ双方のパッチ適用状況が定期的にチェックされるよう、運用プロセスの見直しも求められます。