目次（5）
CVE-2025-71458
FTS3 Web Monitoring（fts-monitoring。大規模なファイル転送サービス FTS3 の状態を見る Web 画面）の 3.12.0 から 3.13.2、および 3.14.0 に、SQL インジェクションの欠陥（CVE-2025-71458）が NVD に登録されました。登録は 2026-11-06 で、NVD の状態は Received（受付済み）です。登録元は VulnCheck で、修正版は 3.13.3 と 3.14.1 と記載されています。
何が起きるか
/linkinfoエンドポイントの処理（get_linkinfo）が、クエリパラメーターsource_seとdest_seをそのまま SQL に使います（CWE-89）。- 認証なしでネットワークから届く攻撃者が、ブラインド型（結果が直接返らず、応答の違いから少しずつ読み取る方式）の SQL インジェクションを行えます。
- 記載されている影響は、データベースに保存されたクラウドストレージの認証情報と、トークン提供元（token provider）のクライアントシークレットの読み取りです。書き換えや停止の記載はありません。
影響を受ける版
| 対象 | 影響する版 | 修正版 |
|---|---|---|
| fts-monitoring | 3.12.0 以上 3.13.3 未満 | 3.13.3 |
| fts-monitoring | 3.14.0 | 3.14.1 |
評価
| 評価元 | 版 | 点数 | ベクターの要点 |
|---|---|---|---|
| VulnCheck（NVD 掲載。Secondary） | CVSS v4.0 | 8.7 | AV:N/AC:L/AT:N/PR:N/UI:N・機密性 高 |
| VulnCheck（NVD 掲載。Primary） | CVSS v3.1 | 7.5 | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
- 認証は不要ですが、点数は 9 未満です。critical の基準（認証不要かつ 9 以上）には当たらないため、severity は high が案になります。
- 漏れる対象が、他のストレージやトークン提供元につながる資格情報なので、被害は fts-monitoring の画面だけにとどまらない恐れがあります。
- FIRST の EPSS は、2026-11-06 時点でまだ算出されていません。CISA の KEV には掲載がありません。
対策として考えられること
- fts-monitoring を 3.13.3 以降（3.14.0 を使っている場合は 3.14.1 以降）に更新します。
- 更新までの間は、監視画面をインターネットに公開せず、社内・信頼できるネットワークだけに限ります。
/linkinfoへのアクセスをリバースプロキシなどで止めることも考えられます。 - 監視画面がつながるデータベースに保存されているクラウドストレージの認証情報・クライアントシークレットは、漏れた可能性を考えて入れ替えを検討します。
- アクセスログに
/linkinfoへの不審なパラメーター（source_se・dest_seに SQL の記号や長い文字列）がないか確認します。
未確認の点
- 実際の悪用の有無（NVD の記述に悪用の記載はありません）。
- 参照先の EGI の勧告（Advisory-EGI-SVG-2025-09）、修正のコミット、v3.13.3・v3.14.1 リリース、VulnCheck の勧告の中身（本稿では開いていません）。
- 3.12.0 より前の版が影響を受けるか。
- NVD の最終評価（現在は Received で、変わる可能性があります）。
この記事について
- 執筆・編集
- World Security 編集部
- AI の利用
- 本記事は AI が NVD などの公開情報をもとに作成しました。数値は取得時点（2026-11-06）のもので、未確認の点は本文に明記しています。
