WS_FTP Serverに権限昇格の脆弱性、修正版が公開
WS_FTP Serverの管理画面に権限チェックの不足があり、Windowsサーバーの乗っ取りにつながる恐れがあります。2024.0.7未満と2025.0.4未満を使っている組織が対象です。修正版へ更新し、委任管理者のアカウントも見直してください。
急ぎ度: 早めに
CVSS v3は9.1と高く、修正版が出ているため、早めの更新を勧めます。
関係があるか
Windows上でWS_FTP Serverを動かし、管理画面を使っている組織が対象です。ホストごとに管理者を委任している環境は、とくに確認が必要です。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| Progress Software WS_FTP Server（Windows） | 2024.0.7未満、および2025.0.4未満 | 2024.0.7、2025.0.4 |
確かめ方
- 1WS_FTP Serverを動かしているサーバーがWindowsかどうかを、資産台帳や担当者への確認で洗い出す。
- 2インストール済みの版を調べ、2024.0.7未満、または2025.0.4未満に当たるかを確認する。
- 3管理画面にHost Administratorとして委任しているアカウントがあるか、その人が社内の担当者か外部の委託先かを一覧にする。
- 4管理画面にどのネットワークから届くかを、ファイアウォールやリバースプロキシの設定で確認する。
何が起きたか
WS_FTP Serverの管理画面で、操作の権限を確認する処理が足りない箇所が見つかりました。この脆弱性により、権限が限られているはずの管理者が、与えられた範囲を超えた操作をできる恐れがあります。
ベンダーのProgress Softwareは、悪用されるとサーバー上で高い権限のコマンドを実行され、Windowsサーバー全体を掌握される可能性があると説明しています。2026年10月29日に公開されました。
CWEでは、認可の欠如を表すCWE-862と、CWE-915に分類されています。CVSSのベクターでは、影響の範囲が管理画面の外まで広がる評価（S:C）になっており、機密性・完全性・可用性のいずれも影響は高とされています。
攻撃の流れ
-
1
委任管理者で接続
委任された管理者の権限で、WS_FTP Serverの管理画面に入ります。
-
2
権限の範囲を超える
権限チェックの不足を突かれ、本来許されていない操作が通ります。
-
3
高い権限でコマンド実行
昇格した権限で、サーバー上のコマンドが実行される恐れがあります。
-
4
サーバー全体を掌握
WS_FTP Serverだけでなく、土台のWindowsサーバーまで侵害されます。
どう悪用されるか
悪用にはネットワーク経由で管理画面へ届くことと、委任されたHost Administratorの権限でログインできることが前提です。利用者の操作は要りません。CVSSでは攻撃の複雑さは低く、必要な権限が高と評価されています。外部の第三者がいきなり悪用できる種類ではありません。
一方、権限を絞って管理を任せている運用そのものが崩れます。委任先の担当者や委託先のアカウントが盗まれた場合、あるいは内部の人間が悪意を持った場合に、サーバー全体の侵害へ進む恐れがあります。被害は転送中のファイルの閲覧や改ざん、サービスの停止、同じサーバー上の他のデータへの波及まで及びえます。
今すぐやること
-
1
使っている版を確認する
対象サーバーのWS_FTP Serverの版を調べ、2024.0.7未満または2025.0.4未満かを確認します。管理画面やインストール済みソフトの一覧でも確認できます。
Get-ItemProperty HKLM:\Software\Microsoft\Windows\CurrentVersion\Uninstall\*, HKLM:\Software\WOW6432Node\Microsoft\Windows\CurrentVersion\Uninstall\* | Where-Object DisplayName -like "*WS_FTP*" | Select-Object DisplayName, DisplayVersion -
2
修正版に更新する
ベンダーの告知を確認し、使っている系統に合わせて2024.0.7または2025.0.4へ更新します。更新前に設定とデータのバックアップを取り、できれば検証環境で動作を見てから本番に適用します。
-
3
委任管理者のアカウントを棚卸しする
Host Administratorを持つアカウントを洗い出し、使われていないものは削除または無効化します。残すアカウントはパスワードを見直し、使い回しがないか確認します。
-
4
管理画面の操作ログを見直す
更新の前後で、委任管理者による想定外の設定変更やログインがないかを確認します。不審な点があれば、サーバー全体が侵害された可能性を前提に調査します。
すぐ更新できないとき
すぐに更新できない場合は、次の一般的な対策で影響を小さくできます。ベンダーが示した回避策ではないため、告知の内容も合わせて確認してください。
- 管理画面へ届くネットワークを、社内の管理用セグメントや特定のIPアドレスに限る。
- 委任管理者の権限を、当面は必要な人だけに絞る。
- 管理画面へのログインを監視し、通常と違う時間帯や接続元からのアクセスに気づけるようにする。
背景
WS_FTP Serverは、取引先や社内の部門とファイルをやり取りするための転送サーバーです。ホストごとに管理者を委任できるため、情シス以外の担当者や外部の委託先に運用の一部を任せている組織もあります。今回の脆弱性は、その「任せる範囲」を守る仕組みに関わるものです。
WS_FTP Serverは、2023年にも重大な脆弱性が公表され、その後に悪用が報告された製品です。転送サーバーには取引先とのデータが集まりやすく、インターネットに公開されていることも多いため、侵害されたときの影響が大きくなります。今回の脆弱性は管理者権限が前提ですが、委任先のアカウント管理が甘い環境ほど、現実的なリスクになります。
よくある質問
Q.Host Administratorを誰にも委任していなければ、更新しなくてもよいですか。
Q.更新後に、管理者アカウントを見直す必要はありますか。
まだ分かっていないこと
- この脆弱性が実際の攻撃で悪用されたかどうかは、公表されていません。
- 権限を超えられる具体的な操作の範囲や、2024.0.7・2025.0.4より前にある別系統の版が影響を受けるか、Windows以外のOSが対象かは分かっていません。
- ベンダーが更新以外の回避策を示しているかは分かっていません。Progress Softwareの告知で確認してください。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Progress Software | WS_FTP Server |
2024.0.7 未満 2025.0.4 未満 |
2024.0.7 2025.0.4 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Missing authorization in the administrative interface of Progress Software WS_FTP Server versions prior to 2024.0.7 and 2025.0.4 on Windows could allow a delegated Host Administrator to exceed their authorized scope, potentially enabling arbitrary command execution with elevated privileges and complete compromise of the underlying server.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web progress.lightning.force.com
- web nvd.nist.gov
- web github.com