WS_FTP Serverの委任管理者が範囲外を操作できる脆弱性、修正版あり
WS_FTP Server（Windows版）に、委任されたHost Administratorが権限の範囲外のファイルを読み書きできる脆弱性が見つかりました。2024系と2025系の旧版が対象で、修正版が出ています。Host Administratorを他部署や委託先に任せている組織は、版を確認して更新してください。
急ぎ度: 早めに
CVSS v3は9.1でcriticalですが、悪用には委任された管理者権限が要り、すでに修正版が出ているため、至急ではなく早めの更新が妥当です。
関係があるか
Windows上でWS_FTP Serverを動かし、Host Administratorの権限を情シス以外の担当者や委託先に委任している組織が主な対象です。委任をしていない場合も、対象の版であれば更新は必要です。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| Progress Software WS_FTP Server（Windows）2024系 | 2024.0.7より前 | 2024.0.7 |
| Progress Software WS_FTP Server（Windows）2025系 | 2025.0.4より前 | 2025.0.4 |
確かめ方
- 1WS_FTP Serverを入れているWindowsサーバーで、インストール済みの版が2024.0.7または2025.0.4に達しているかを確認します。「プログラムと機能」の一覧か、下のコマンドで見られます。
- 2WS_FTP Serverの管理画面で、Host Administratorとして委任しているアカウントを洗い出します。だれが、どのホストの管理を任されているかも合わせて控えます。
- 3どのサーバーが社内で稼働しているかを把握しきれていない場合は、資産台帳やFTP関連のサービス一覧から、WS_FTP Serverが動いているサーバーを探します。
何が起きたか
Progress SoftwareのWS_FTP Server（Windows版）で、委任されたHost Administratorが、本来許された範囲の外にあるファイルを読んだり書き換えたりできる脆弱性が公表されました。管理者ごとに分けたはずの境界が守られなくなる問題です。
ベンダーの説明では、パストラバーサル（CWE-22）に分類されています。ファイルのアップロードに関する分類（CWE-434）も付いています。公表日は2026年10月29日で、2024.0.7と2025.0.4で修正されました。
CVSS v3は9.1で、重要度はcriticalです。ベクターでは、機密性・完全性・可用性への影響がいずれも高く、影響範囲が変わる（スコープが変化する）とされています。
攻撃の流れ
-
1
委任管理者の権限
Host Administratorとして委任されたアカウントでログインできる状態が出発点です。
-
2
範囲の制限が働かない
管理を任された範囲の外にあるパスを扱えてしまい、境界の確認をすり抜けます。
-
3
範囲外のファイルに触れる
本来は見えないはずのファイルを読んだり、書き換えたりできます。
-
4
サーバー全体に影響
ほかの管理者の領域やサーバー側のファイルにまで、被害が及ぶおそれがあります。
どう悪用されるか
悪用にはHost Administratorとして認証された状態が必要です。ネットワーク経由で実行でき、攻撃の複雑さは低く、別の利用者に操作させる必要もありません。CVSSでは権限要件が高とされており、匿名の外部者がそのまま突ける種類の問題ではありません。
ただし、委任管理者のアカウントが奪われた場合や、委託先の担当者が悪意を持った場合には、一気に条件が揃います。成功すると、範囲外のファイルの閲覧や改ざんに加えて、サービスへの影響も高と評価されています。影響範囲が変わるとされているため、被害が委任された範囲にとどまらない点が、この脆弱性でいちばん警戒すべきところです。
今すぐやること
-
1
インストール済みの版を確認する
WS_FTP Serverが動くWindowsサーバーごとに版を確かめ、2024系は2024.0.7、2025系は2025.0.4に達しているかを見ます。
Get-Package -Name "*WS_FTP*" -
2
修正版に更新する
対象の版であれば、使っている系列の修正版に更新します。手順と注意点はProgress Softwareのアドバイザリで確認してください。更新の前に、設定とデータのバックアップを取っておくと安心です。
-
3
Host Administratorを棚卸しする
委任している管理者のうち、いまも必要な人だけを残します。退職者や契約終了した委託先のアカウントは無効にし、残すアカウントのパスワードも見直します。
-
4
範囲外のファイルに変更がないか見る
更新の前後で、委任管理者の操作ログや、管理範囲の外にあるファイルの更新日時を確認します。見慣れない変更があれば、インシデントとして扱います。
すぐ更新できないとき
ベンダーが公式の回避策を示しているかは確認できていません。更新までのあいだは、一般的な軽減策として、委任管理者のアカウントを必要最小限に絞ること、パスワードを変更すること、管理画面に社外から届かないようアクセス元を制限することが有効です。ただし、これらは悪用の条件を狭めるだけで、脆弱性そのものはなくなりません。
背景
WS_FTP Serverは、取引先や拠点とファイルをやり取りする窓口として使われるファイル転送サーバーです。Host Administratorの委任は、ホストごとに管理者を分け、情シスがすべてを抱え込まずに済むようにする仕組みで、委任された人の権限は割り当てられた範囲に限られる前提で運用されています。
今回の脆弱性は、その前提を崩します。サーバーを完全に乗っ取る問題というより、管理者どうしの境界を越えられる点に特徴があります。委託先や他部署に管理を任せている組織ほど、影響が大きくなりやすい構造です。
よくある質問
Q.Host Administratorを委任していなければ、更新しなくてもよいですか。
まだ分かっていないこと
- 実際の攻撃で悪用されているかどうかは公表されていません。
- 2024系と2025系より前の版が影響を受けるかどうかは、公表されている範囲では分かっていません。
- 公式の回避策があるかどうかは分かっていません。最新の情報は、Progress Softwareのアドバイザリで確認してください。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Progress Software | WS_FTP Server |
2024.0.7 未満 2025.0.4 未満 |
2024.0.7 2025.0.4 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
A path traversal vulnerability in Progress Software WS_FTP Server versions prior to 2024.0.7 and 2025.0.4 on Windows could allow a delegated Host Administrator to access or modify files outside their authorized scope.
出典: CVE.org (CVE Program・cvelistV5) NVD