AsiaInfo BSSの脆弱性2件、認証なしで乗っ取り、修正版あり
AsiaInfoのBusiness Support System 9.2.0〜9.2.40に、ネットワーク越しに認証なしで管理者権限の操作を許す脆弱性が2件公表されました。BSSを運用する通信事業者などは、9.2.41への更新と、管理APIの公開範囲、アカウント履歴の点検を急いでください。
同じ発表の脆弱性 2 件
この記事でまとめた分です。発表元の告知には、ほかの脆弱性も載っていることがあります。
- CVE-2026-125297 重大 9.8
- CVE-2026-125298 重大 9.8
急ぎ度: 至急
2件ともCVSS v3は9.8で、認証なしで遠隔から管理者権限の操作に至るうえ、修正版9.2.41がすでに出ているためです。
関係があるか
AsiaInfoのBusiness Support System（BSS）をオンプレミスやプライベートクラウドで自社運用している通信事業者、MVNO、サブスクリプション型事業者が対象です。管理APIにネットワーク上で到達できる環境ほど危険が高くなります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| AsiaInfo Business Support System（BSS） | 9.2.0〜9.2.40 | 9.2.41 |
| aether-menu（BSSの外部認可サービス） | 2.2.1〜2.2.6 | 2.2.7 |
確かめ方
- 1運用中のBSSの版が9.2.0以上9.2.41未満かを、管理者向けの版表示や導入時の資料で確認します。
- 2aether-menuの版が2.2.1以上2.2.7未満かも確認します。BSSの版と合わせて見てください。
- 3管理API（/bss/sysmgnt/api/）に、インターネットや社外の閉域網、協力会社の網から到達できるかをネットワーク担当と確認します。
- 4BSSを提供元の運用で利用している場合は、9.2.41の適用状況を提供元に問い合わせます。
何が起きたか
AsiaInfoのBSSで、認証を迂回して管理者権限の操作ができてしまう脆弱性が2件公表されました。どちらも管理APIとその認可の仕組みに関わり、攻撃されると管理者アカウントの作成や乗っ取りなど、管理者としての操作を許します。
- CVE-2026-125297: 管理API（/bss/sysmgnt/api/）が認証なしで受け付けられ、管理者アカウントの作成や既存アカウントの乗っ取りに至る（CVSS v3は9.8、v4は9.3。CWE-306、CWE-862）
- CVE-2026-125298: JSON Web Token（JWT）の署名を正しく検証せず、署名のない偽のトークンで権限の必要な操作を実行できる（CVSS v3は9.8、v4は9.3。CWE-347）
CVE-2026-125297を報告した調査者の資料によると、原因は認可の設計にあります。プラットフォームが生成する認可ポリシーは、対応するタグを持つサービスにしか効いていませんでした。管理APIはタグのないサービスに当たり、対象から漏れていました。さらに外部認可サービスは、権限の紐づけがない要求を許可として扱っていました。修正版のaether-menu 2.2.7は、これを厳格な拒否に改めています。
調査者の資料では、修正は2026年9月18日にaether-menu 2.2.7として出て、BSS 9.2.41に含まれたと説明されています。CVEの公表は2026年11月10日です。修正版は公表より前から存在するので、問うべきは9.2.41を適用済みかどうかです。
攻撃の流れ
-
1
管理APIに到達
ネットワーク上で、BSSの管理APIや認可の仕組みにリクエストを送れる位置に入ります。
-
2
認証を迂回
認証なしの要求、または署名のない偽のトークンが、そのまま受け付けられます。
-
3
管理者権限を得る
既存の管理者アカウントを乗っ取るか、権限の高いアカウントを新しく作ります。
-
4
管理操作を実行
ユーザーや権限の変更など、管理者としての操作が可能になります。
どう悪用されるか
2件とも、攻撃者はネットワーク越しに到達できればよく、事前のログインも利用者の操作も要りません。CVE-2026-125297は管理APIへの要求が認証なしで通ること、CVE-2026-125298は署名のない偽のJWTが有効として扱われることが入口です。入口は違いますが、悪用の前提と行き着く先はほぼ同じです。
被害は、管理者権限の奪取が中心です。調査者の資料では、ユーザーと権限の一覧、API利用者の共有シークレットが認証なしで読み出せたとされています。既存の管理者のパスワードの再設定や、権限の高い運用者の新規作成から、正規のセッションを得られます。そのセッションで、SIMの変更、契約や料金プランの変更、残高の調整、契約者の削除といった加入者管理の操作に届く経路もあるとされています。
今すぐやること
-
1
BSSとaether-menuの版を確認する
BSSが9.2.41未満、aether-menuが2.2.7未満なら対象です。複数の環境（本番・検証・災害対策）がある場合は、すべて洗い出します。
-
2
修正版に更新する
BSSを9.2.41に、aether-menuを2.2.7に更新します。BSSの更新に2.2.7が含まれるため、更新後に版を確認してください。
-
3
侵害の跡を調べる
更新前に管理APIへ外部から到達できた環境は、身に覚えのない管理者アカウントや運用者アカウントの作成、既存アカウントのパスワード再設定、権限の付与がないかをログで確認します。加入者管理の操作履歴（SIM変更、プラン変更、残高調整、契約者削除）も見ます。
-
4
資格情報を入れ替える
API利用者の共有シークレットと管理者のパスワードは、読み出された可能性があります。更新後に再発行し、連携先にも反映してください。
-
5
ベンダーの告知と勧告を確認する
AsiaInfoの告知と、米国CISAが公開している勧告で、更新手順や追加の注意点がないかを確認します。
すぐ更新できないとき
更新までのつなぎとして、BSSの管理APIや管理画面へのアクセスを、ファイアウォールやリバースプロキシで社内の管理用ネットワークなど必要な接続元だけに絞ります。これは被害を減らす一時的な措置で、脆弱性を修正するものではありません。ベンダーが正式な回避策を案内しているかは、告知で確認してください。
背景
BSSは、通信事業者が商品カタログ、契約者管理、課金、チャージ、eSIMの提供などを動かすための業務基盤です。AsiaInfoのクラウドBSSの紹介ページでも、これらが主な機能として挙げられています。管理APIを握られると、顧客データと料金計算に関わる操作が丸ごと相手に渡ります。ネットワークの外から触れる設定になっている環境も多く、影響は大きくなりやすい製品です。
CVE-2026-125297の原因は、認可の例外の扱いにあります。ポリシーがタグ付きのサービスにしか効かず、権限の紐づけがない要求は許可されていました。拒否を基本とする設計なら止まったはずの経路が、許可を基本としていたために開いていた構造です。CVE-2026-125298のJWTは、署名の検証があって初めて発行元を信用できる仕組みです。検証が欠けると、トークンの中身は誰でも書ける申告にすぎなくなります。2件が同じ版の範囲に重なっているため、認可の層を一括で見直した更新と受け取れます。
よくある質問
Q.BSSを提供元のクラウドサービスで使っている場合、自社で何かするべきですか。
まだ分かっていないこと
- 加入者管理の操作（SIM変更、プラン変更、残高調整、契約者削除）は、調査者が実機では実行しておらず、実際にどこまで可能かは検証されていません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| AsiaInfo InternationalBusiness Support System |
9.2.0 以上 9.2.41 未満→ 9.2.41 |
9.2.41 |
| AsiaInfo Internationalaether-menu |
2.2.1 以上 2.2.7 未満→ 2.2.7 |
2.2.7 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
AsiaInfo Business Support System (BSS) 9.2.0 through 9.2.40 accepts unauthenticated requests via the management API '/bss/sysmgnt/api/'. A remote, unauthenticated attacker could provision a new account with administrative privileges or take over existing accounts, and perform other administrative actions. Fixed in 9.2.41.
出典: CVE.org (CVE Program・cvelistV5) NVD
参照URL
- web asiainfo.eu
- web github.com
- web cve.org
- web raw.githubusercontent.com