- CVE-2025-34299 は、悪意のある (S)FTP サーバーからファイルをダウンロードして任意に書き込むことにより、Monsta FTP で認証なしでリモート コード実行を可能にします。
- この脆弱性は 2.11.3 より前のすべてのバージョンに影響し、不十分なパス検証とファイルアップロードによる過去の障害に関連しています。
- 有効な修正は Monsta FTP 2.11.3 に含まれていますが、ネットワーク セグメンテーション、API アクセス制限、および送信接続監視でパッチを補完することが不可欠です。
Monsta FTPの脆弱性CVE-2025-34299は、近年のWebベースのファイル管理アプリケーションにおける最も深刻な欠陥の一つとなっています。この認証不要のリモートコード実行の脆弱性により、攻撃者は悪意のある(S)FTPサーバーへの接続を強制し、不十分なパスおよびファイル検証を悪用するだけで、Monsta FTPがインストールされているサーバーを完全に制御できてしまいます。
この問題は単発的なものではなく、 Monsta FTPにおける過去の脆弱性（SSRF、任意のアップロード、部分的な検証）や、やや分かりにくいパッチ管理システムと関連しています。このシステムでは、誤った安心感を与える検証メカニズムが導入されていましたが、根本的な欠陥の原因には対処されていませんでした。これらの要因が重なり、CVSSスコア9.3の重大なCVEが発生し、既に実際の環境で悪用され、インターネット上の数千ものインスタンスに影響を与えています。
Monsta FTP とは何ですか? この脆弱性がなぜ重要なのですか?
Monsta FTPは、PHPとJavaScriptで開発されたWebベースのFTPおよびSFTPクライアントです。従来のデスクトップクライアントを使用する代わりに、Webサーバーに直接インストールしてWebブラウザ経由でファイルを管理できます。この方式により、追加ソフトウェアなしでどこからでもファイルのアップロード、ダウンロード、変更を行いたい管理者や開発者にとって特に便利です。
問題は、こうしたツールがインターネットに公開されているため、攻撃者にとって非常に魅力的な標的となることです。Monsta FTPは、金融機関、企業、そしてウェブサイトやサーバーを一元管理するために利用する上級ユーザーなど、相当数のインストールベースを誇っています。
さらに、デフォルトのインストールパスは通常/mftp/であり、実際には多くのインストールをより一般的なスキャンから「隠蔽」しますが、この技術を検出した攻撃者が既知の脆弱性を悪用しようとするのを全く防ぐことはできません。
このような状況において、 CVE-2025-34299のように、リモートの匿名攻撃者が任意のファイルをアップロードしてサーバー上で実行できるような脆弱性は、特に深刻です。アプリケーションが単なるファイル管理ツールから、システム全体を侵害する直接的な経路へと変貌してしまうからです。
CVE-2025-34299の技術的説明：障害の起源と性質
脆弱性CVE-2025-34299は、watchTown Labsの研究者によって詳細に文書化されており、Monsta FTPにおける任意のファイルアップロードとリモートコード実行の脆弱性であると説明されています。この脆弱性はバージョン2.11.3より前のすべてのバージョンに影響し、認証されていないリモート攻撃者がMonsta FTPを使用して(S)FTPサーバーから制御対象のファイルをダウンロードし、Webサーバー上の任意のパスに保存して実行することを可能にします。
初期バージョン（2.11まで）では、問題はパラメータの安全でない処理と、パスおよびファイルの堅牢な検証の欠如に関連していました。同様の脆弱性は既に報告されており、例えばCVE-2022-27468（任意のファイルアップロード）やCVE-2022-31827（SSRF）では、ファイルのダウンロードおよびコピーフローの一部が適切に保護されていないことが指摘されていました。
研究者らは、ディレクトリトラバーサル、絶対パス、ヌルバイト、疑わしいパターンなどを検出する多数の機能を備えた検証モジュール（ inputValidator.php ）が後から導入されたものの、これらの防御策が実際に安全でないファイル書き込みを許容するフローに適切に適用されていなかったことを突き止めた。つまり、これらのフィルタがすべて設置されていても、攻撃対象領域は開いたままだったのである。
実際的な結果として、Monsta FTP バージョン 2.11.2 までは、攻撃者が制御下の SFTP サーバーからファイルを強制的にダウンロードし、Web からアクセス可能なディレクトリに保存するように指示することで、 Web サーバープロセス(通常は www-data または同様のユーザー)の権限でコード実行を実現できる可能性があります。
Monsta FTP APIの脆弱性を悪用する方法
この脆弱性の核心は、アプリケーションのアクションの中心となるエンドポイント/mftp/application/api/api.phpにあります。このエンドポイントは、HTTP リクエストボディに`request`というパラメータを受け取ります。このパラメータには、(S)FTP 接続を確立し、ファイルに対してアクションを実行するために必要なすべてのデータを含む構造化された JSONが含まれています。
その JSON ファイル内には、接続タイプ ( connectionType = "sftp")、リモートサーバー構成 ( configuration : host、port、username、password、home directory)、および実行するアクション名 ( actionName ) (downloadFile、uploadFile、fetchRemoteFileなど) といった要素が指定されています。ローカルパスとリモートパスなどの追加パラメータは、 contextセクションに含まれています。
このアプリケーションには、 switch文を通してactionNameに基づいて実行すべき処理を決定するディスパッチ関数が含まれています。ここでInputValidatorモジュールの検証ロジックが機能し、特定のアクションにおけるremotePathやlocalPathなどのパラメータをチェックし、ディレクトリトラバーサルや危険なパスへのアクセスを防止しようとします。
しかし、研究者らは、downloadFileアクションの具体的なケースでは、実際のコードフローが、リモートファイルがコピーされるローカルパスをlocalPathパラメータを介して攻撃者が制御できる状態に依存していることを観察した。この値は、書き込み可能なディレクトリに対する実質的な制限なしに、copy()呼び出しで直接使用されることになった。
実際には、これは攻撃者が/mftp/application/api/api.phpに対して HTTP POST リクエストを作成し、Monsta FTP に悪意のある SFTP サーバーに接続させ、ファイル (例えばshell.php ) をダウンロードして、 /var/www/html/mftp /index3.php などの Web サーバー上の任意の場所に保存するように指示できることを意味します。その後、新しく作成されたファイルに対して単純な GET リクエストを送信するだけで、サーバー側の権限で悪意のある PHP コードを実行できます。
過去の脆弱性とパッチ適用の失敗との比較
CVE-2025-34299の脆弱性は突然現れたものではありません。Monsta FTPには、ユーザー入力やファイルパスの安全でない処理に関連する脆弱性が以前から存在していました。バージョン2.10.3や2.10.4などは、 SSRFと任意のファイルアップロードの両方に関わるCVE-2022-31827とCVE-2022-27468の影響を受けていました。
WatchTowerによる詳細な調査の結果、既知のCVEが存在するにもかかわらず、バージョン2.10.3と2.10.4の間にはコードにほとんど変更が加えられていないことが判明しました。つまり、後のバージョンも本質的に同じ問題に対して脆弱なままであり、パッチは危険なファイル書き込みを可能にするロジックを構造的に修正するものではありませんでした。
バージョン2.11のリリースに伴い、Monsta FTPはinputValidator.phpモジュールを導入し、非常に包括的な検証機能を追加しました。具体的には、「../」のような文字列、ハードコードされたバリアント（%2f、%5cなど）、絶対パス、最大パス長、その他の疑わしいパターンを検出します。一見すると、セキュリティ強化を目的とした徹底的なコードクリーンアップのように見えます。
しかし、研究者たちがSSRFの概念実証を再実行し、ファイルをアップロードしたところ、バージョン2.11でも攻撃が依然として有効であることが判明した。つまり、多くのエントリーポイントに検証のための「ラップ」レイヤーが適用されていたものの、任意の書き込みを可能にする特定のフローは遮断されていなかったのだ。
このパターンは、多くのプロジェクトで共通する問題点を示しています。それは、サーバー上でのファイルのオープン、書き込み、コピーといった危険な操作につながる重要なコードパスを徹底的に検証することなく、一般的な検証レイヤーを実装してしまうことです。その結果、開発者と管理者の両方に誤った安心感が生まれ、根本的な脆弱性は未解決のまま残ってしまうのです。
資格情報と影響範囲のない悪用
CVE-2025-34299の最も懸念される特徴の一つは、この脆弱性が完全に事前認証型であることです。つまり、Monsta FTPパネルでの有効な認証情報や以前のセッションは一切必要ありません。攻撃者は、Monsta FTPインスタンスがインターネットからアクセス可能であり、かつ/mftp/application/api/api.php APIが悪意のあるリクエストを受け入れることだけを必要とします。
攻撃者は、Webサーバーの権限でコードを実行できる能力を獲得することで、バックドアのインストール、Webシェルの展開、アプリケーションファイルの読み取りや変更、さらにはアーキテクチャが適切にセグメント化されていない場合は内部ネットワーク上の他のシステムへの侵入まで可能になります。企業や金融機関の環境では、これは機密データの盗難、詐欺、深刻なサービス停止につながる可能性があります。
研究者らの推定によると、 Monsta FTPの普及が進んでいるため、その影響は甚大である。インターネット上には数千ものインスタンスが存在し、アクセス可能となっている。これらの多くは、デフォルトの/mftp/コンテキストのため、一般的なスキャンでは検出されない。そのため、組織は実際にこの脆弱性が露呈しているかどうか、また露呈している場合はどのバージョンなのかを把握することが困難になっている。
もう一つの重要な点は、ウェブサーバーにアクセス可能で、ネットワークレベルで悪意のあるSFTPサーバーへの接続が可能であれば、この脆弱性は世界中のどこからでも悪用できるということです。サーバーからインターネットへのアウトバウンド接続を制限するファイアウォールルールがない場合、悪用は極めて容易になります。
このシナリオでは、攻撃者は脆弱なMonsta FTPに対するスキャンと悪用を自動化し、ランサムウェア攻撃やボットネットのインストール、認証情報の窃盗など、大規模な攻撃キャンペーンに組み込むことができます。
影響を受けるバージョン、タイムライン、利用可能なパッチ
脆弱性CVE-2025-34299は、Monsta FTPのバージョン2.11.3より前のすべてのバージョンに影響します。これには、既に他のCVEが登録されているブランチ（2.10.3、2.10.4、2.11、2.11.1、2.11.2）も含まれ、これらのバージョンではファイルのダウンロードとコピーの内部ロジックに問題が残っていました。
watchTownの調査によると、発見とパッチ適用プロセスの既知の時系列は、大まかに言って以下のとおりである。
- 13 8月2025: watchTowr は、この脆弱性 (WT-2025-0091 と呼ばれる) を Monsta FTP 開発チームに報告しました。
- 14 8月2025Monsta FTP チームはレポートの受領を確認し、問題を検討することをお約束します。
- 15 8月2025: watchTowr は、Monsta FTP の脆弱なインスタンスを探すために、顧客の攻撃対象領域のより広範な分析を開始します。
- 26 8月2025バージョンが公開されました 2.11.3 Monsta FTPから、ついに 脆弱性を効果的に修正する 安全でない書き込みフローに対処します。
- 4デNOVIEMBREデ2025識別子は正式に割り当てられます。 CVE-2025-34299 この脆弱性に対して。
- 6デNOVIEMBREデ2025ものみの塔は、この失敗に関する詳細な技術的調査を発表した。
バージョン2.11.3以降、このコードでは、書き込みパスを許可されたディレクトリに制限する追加の制御機能が導入され、パラメータの検証が強化されています。これにより、localPathがWebサーバーによって提供される可能性のあるシステム上の場所に任意に書き込まれることを防ぎます。
アナリストやセキュリティベンダーの間では、概ね共通認識が得られています。バージョン2.11.3より前のバージョンを使用している組織は、直ちにアップグレードするか、それができない場合は、移行計画を立てる間、Monsta FTPへのパブリックアクセスを無効にするべきです。
Monsta FTPの脆弱なインスタンスを識別する方法
組織内のMonsta FTPのインスタンスをすべて特定するのは必ずしも容易ではありません。特に、ツールが何年も前にインストールされて以来、一度もチェックされていない古いサーバーや忘れ去られたサーバーが存在する場合はなおさらです。このような場合に、攻撃対象領域管理と資産検出ソリューションが役立ちます。
runZeroのようなツールは、アプリケーションのファビコンなどの機能に基づいて潜在的な脆弱性を特定するのに役立つ特定のクエリを公開しています。推奨クエリの例は次のとおりです。
_asset.protocol:http AND protocol:http AND favicon.ico.image.mmh3:="1535999103"
このクエリは、ファビコンがMonsta FTPと一致するHTTPサービスを特定し、詳細なバージョンおよび構成レビューが必要なシステムの初期リストを提供します。そこから、インストールされているバージョンを手動で検証し、パッチ2.11.3以降が適用されているかどうかを確認することが不可欠です。
これらの種類の検索に加えて、 Webサーバー上の/mftp/パスを検索し、アプリケーションファイルを確認する内部インベントリ（スクリプトやスキャンツールなどを使用）を実行することをお勧めします。これは、一部のインストールではポートやドメインの標準構成に従っていない可能性があるためです。
緩和策と優れた防御策
CVE-2025-34299への対策として最も重要なのはMonsta FTPをバージョン2.11.3以降にアップデートすることですが、パッチを適用してそのまま放置するのは賢明ではありません。今回の事例は、この種のアプリケーションにはさらなるセキュリティ対策が必要であることを明確に示しています。
まず、Monsta FTP APIへのアクセスを制限することを強くお勧めします。エンドポイント/mftp/application/api/api.phpは、インターネット上のどのIPアドレスからもアクセスできないようにしてください。理想的には、ファイアウォールやアクセス制御リストを使用してトラフィックをフィルタリングし、特定の範囲（例えば、社内VPNネットワーク）のみを許可するか、イントラネット内でのみ使用できるようにすることが望ましいです。Linuxサーバーでは、 iptablesを使用してこのフィルタリングを行うのが一般的な方法です。
第二に、適切なネットワークセグメンテーションを実施する必要があります。Monsta FTPのようなアプリケーションをホストするWebサーバーは、重要なシステム（コアデータベース、ERP、財務システムなど）への無制限の直接アクセス権限を持つべきではありません。適切なセグメンテーションとTCP/IPモデルの理解があれば、Webサーバーが侵害されたとしても、攻撃者が横方向に移動することははるかに困難になります。
もう一つの重要な対策は、異常な送信接続、特にSFTP、FTP、SSHなど、通常とは異なる外部宛先への接続を監視することです。この脆弱性を悪用するには、脆弱なサーバーが攻撃者によって制御されている（S）FTPサーバーに接続する必要があるため、適切に設定された監視システムやSIEMは、このような疑わしいトラフィックを検出した際にアラートを発することができるはずです。
最後に、 Webアプリケーションファイアウォール（WAF）を導入して適切に設定し、サーバーのセキュリティ強化ポリシーを適用することをお勧めします。具体的には、書き込み権限を減らし、Webサーバープロセスが可能な限り低い権限で実行されるようにし、定期的な脆弱性スキャンを実行して、古いインスタンスや更新サイクルから遅れているバージョンを検出します。
ゼロトラスト、継続的な監視、その他の脆弱性のコンテキスト
Monsta FTP事件とCVE-2025-34299は、ゼロトラストセキュリティのアプローチがますます必要になっている理由を如実に示している。インターネットに接続するアプリケーションが「最新の状態」であるというだけで信頼できると考えるのは、攻撃手法が非常に具体的な実装の詳細に焦点を当てている場合、あまりにもナイーブである。
ゼロトラストのアプローチを採用するには、一度設定とパッチ適用を行えばサービスが二度と問題を引き起こさないと想定するのではなく、すべてのアクセスポイント、すべての接続、すべての構成変更を継続的に検証および監視する必要があります。Monsta FTPの場合、これは単に更新するだけでなく、ログ、ネットワーク動作、ファイルの整合性、および疑わしい新規ファイル（シェル、未知のスクリプトなど）の出現を定期的に確認することを意味します。
さらに、今回の事件は孤立した事例ではありません。ウェブブラウザなど、広く普及している他の製品も、定期的に重大な脆弱性に悩まされています。Monsta FTPの世界以外で最近の例としては、Google ChromeのCVE-2024-11395脆弱性が挙げられます。これはV8エンジンの型混同の欠陥であり、特別に細工されたHTMLページを介して任意のコード実行を可能にするものでした。
Chromeの場合、Googleは安定版アップデート（WindowsとMacではバージョン131.0.6778.85/.86、Linuxではバージョン131.0.6778.85）をリリースし、この重大な脆弱性を含む3つの脆弱性を修正しました。推奨事項は明確で、すぐにアップデートし、自動更新を有効にし、疑わしいソースのWebサイトを避けることでした。Monsta FTPとの類似点は明らかです。広く使用されている製品であり、深刻な欠陥があり、すぐにパッチが必要だったにもかかわらず、かなりの割合のシステムが対応に時間がかかっています。
これらすべては、セキュリティが単発的なイベントではなく、外部の脅威や攻撃対象領域を積極的に管理するプラットフォームのように、継続的なリスク管理プロセスであるという考えを裏付けています。こうしたツールや手法を日常業務に統合することで、新たな脆弱性への対応時間といった貴重なメリットを得ることができます。
Monsta FTPの脆弱性CVE-2025-34299、過去の脆弱性との関連性、真に効果的なパッチのリリースまでの長い道のり、そしてアップデートに加えてネットワーク制御、WAF、セグメンテーション、ゼロトラストのアプローチを補完する必要性などから、積極的な防御体制を採用する組織は、単純なFTP Webクライアントが深刻なインシデントへの入り口となることを防ぐための選択肢がはるかに多くなるという状況が浮かび上がってくる。
