Quest KACE SMA の SSO 認証回避で管理者権限を奪取（悪用確認済み）

Critical（CVSS 10.0）に分類されるQuest KACE Systems Management Appliance (SMA)の脆弱性です。Quest KACE Systems Management Appliance（SMA）の SSO 認証処理に認証回避の欠陥がある。NVD の記述によれば、攻撃者は有効な資格情報なしに正規の利用者になりすませ、管理権限の完全な掌握（complete administrative takeover）に至る。端末管理用のアプライアンスなので、管理面を取られると配下の管理対象への影響まで想定しておく必要がある。影響範囲は版ごとに分かれており、13.0.x は 13.0.385 より前、13.1.x は 13.1.81 より前、13.2.x は 13.2.183 より前、14.0.x は 14.0.341（Patch 5）より前、14.1.x は 14.1.101（Patch 4）より前が該当する。系列ごとに上げる先が違う。CVSS は CISA の ADP コンテナによる 10.0 Critical（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H）のみで、NVD 自身の Primary スコアは付与されていない。スコープ変更あり（S:C）という評価は、影響がアプライアンス自身に留まらないという見方を示す。CISA KEV には 2026-04-20 に収載され、是正期限は 2026-05-04。ランサムウェア利用は Unknown（不明）。関連する CVE-2025-32976 / 32977 / 32978 が Quest の同一 KB で扱われている。NVD の vulnStatus は Analyzed、公開は 2025-06-24。

該当判定は SMA の版を確認するところから始まる。管理コンソールの About に出るビルド番号を見て、13.0 系なら 13.0.385、13.1 系なら 13.1.81、13.2 系なら 13.2.183、14.0 系なら 14.0.341（Patch 5）、14.1 系なら 14.1.101（Patch 4）と比べ、これより前なら該当である。パッチ番号まで含めた比較が必要で、14.0 や 14.1 と表示されているだけでは判断できないのが見落としの元になる。すぐに更新できない場合、公開情報から確認できる設定回避策は無い。欠陥が SSO の認証処理にあるため、経路を閉じる方向が現実的で、管理コンソールをインターネットから到達不能にし、社内かつ VPN や踏み台の内側に限定する、SSO の連携先 IdP 側で条件付きアクセスを掛けて到達元を絞る、といった措置になる。それでも認証処理自体の欠陥は残るため、あくまで更新までの一時措置である。KEV 収載＝実際に悪用が確認されている案件なので、更新だけで終わらせてはいけない。SMA の管理者アカウントの追加や権限変更、見慣れない利用者名でのログイン、配布用に登録されたスクリプトやパッケージの追加・変更、そして管理対象端末へ配信されたジョブの履歴を確認する。端末管理製品は配下の端末に対してコードを配る機能を持つため、侵害があった場合の被害範囲は配下全体に及ぶ前提で調査する必要がある。SMA が保持している資格情報（AD 連携アカウント、端末へのログイン用アカウント、SNMP や資産検出用のクレデンシャル、メール送信用アカウント）は侵害済みとみなして再発行する。完了条件は、（1）全アプライアンスが系列ごとの修正版以降になっている、（2）管理者アカウントと配布物の変更履歴を確認して記録した、（3）保持していた資格情報を再発行した、の3点である。KEV 是正期限 2026-05-04 は今日（2026-08-17）から見て3か月以上前であり、未対応なら期限超過として扱う。

Quest KACE Systems Management Appliance (SMA) を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2025-32975）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/05/04 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。