GoAnywhere MFTの脆弱性CVE-2025-10035：CVSS 10.0の謎

watchTowr Labsは、FortraのGoAnywhere MFTにおけるCVE-2025-10035という重大な脆弱性を分析しました。この脆弱性は、CVSSスコアが完璧な10.0で、シリアライズ解除の脆弱性です。偽造されたライセンス応答署名を持つ攻撃者は、任意のオブジェクトをデシリアライズし、コマンドインジェクションを引き起こす可能性があります。インターネットへの露出が必要ですが、watchTowr Labsは、認証をバイパスしてライセンスリクエストトークンを取得する、認証不要な方法を発見しました。しかし、署名検証というハードルが残っています。この分析では、脆弱性の悪用プロセスを詳細に説明し、発見されていない署名バイパスの可能性や、漏洩した秘密鍵について疑問を呈しています。脆弱なインスタンスを特定するために、検出ツールが提供されています。