2025年4月18日、情報処理推進機構（IPA）は、株式会社クオリティアが提供するウェブメールシステム「Active! mail」に、深刻な脆弱性（CVE-2025-42599）が存在することを公表しました。この脆弱性は、既に悪用された攻撃が確認されており、利用者は速やかな対策が求められます。
Active! mailとは？
「Active! mail」は、株式会社クオリティアが提供する法人向けのWebメールソリューションです。インストール型（オンプレミス）でありながら、ブラウザベースの直感的な操作性と高いセキュリティ性を兼ね備えており、多くの教育機関・自治体・企業で導入されています。
メールの検索性やUIのカスタマイズ性に優れており、大規模利用にも対応。社内グループウェアとの連携や、モバイル端末からのアクセスなど、多機能な点も評価されています。
脆弱性の概要と影響
今回報告された脆弱性は、「スタックベースのバッファオーバーフロー」に分類されます。攻撃者が特別に細工したリクエストを送信することで、以下のような影響が懸念されます。
- 任意のコード実行（リモートからサーバを乗っ取られる恐れ）
- サービス拒否（DoS）状態（システムがダウン）
IPAが示したCVSS v3のスコアは9.8（緊急／Critical）と、極めて高い深刻度です。これは、情報漏えいや業務停止など、実際の被害につながるリスクが非常に高いことを意味します。
すでに攻撃も確認、対象バージョンは？
IPAとJPCERT/CCによると、この脆弱性は既に悪用されていることが確認されており、実際に「Active! mail」を通じた攻撃被害が発生しています。影響を受けるバージョンは以下のとおりです。
上記バージョンを使用している場合、悪意のある攻撃者によって、システムが乗っ取られたり、メールシステムが停止させられたりする危険があります。
利用者が取るべき対策
この脆弱性に対する修正パッチは、既に開発元であるクオリティアから提供されています。対策は以下の通りです。
もし利用中のシステムがアップデート困難な場合は、ネットワーク制限やWAF（Web Application Firewall）による保護など、代替的な防御策を講じる必要があります。
今後も注意すべきポイント
今回の脆弱性は、既に実害が出ていることからも、特に重大なインシデントとして位置づけられます。企業のメール環境は日常業務の中核を担うシステムであり、万が一の停止は大きな損失に直結します。
また、本脆弱性は一部報道でActive! mailが先般、サイバー攻撃を受けたとして話題になったインターネットイニシアティブ（IIJ）のメールサービスに採用されていたとされています。
▼ インターネットイニシアティブ（IIJ）のサイバー攻撃について
現在では、被害の拡大が抑えられていますが、同サービスを利用の場合にはセキュリティパッチの早急の適用が求められます。
まとめ
Active! mailを利用中の企業・団体は、すぐにバージョンを確認し、該当する場合は必ず最新版へのアップデートを行いましょう。脆弱性は攻撃の入り口となりうるため、「まだ被害がないから大丈夫」と放置せず、早めの対応がセキュリティ対策のカギとなります。
コメント