重要情報 脆弱性名称: VestaCP Debian Installer の悪意あるバックドアによるサプライチェーン侵害 深刻度: CRITICAL 日付: 2025年10月14日 影響範囲: - VestaCP コミット a3f0fa1 (2018-05-31) < コミット ee03eff (2018-06-13) CVE番号: CVE-2018-2517 CWE番号: CWE-506 埋め込みマルウェアコード CVSSスコア: 9.3 CVSS V4 ベクトル: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:A/VC:H/VI:H/VA:N/SC:H/SI:H/SA:N 参考リンク: - Vesta Exploitation Acknowledgement - Kaspersky Labs Technical Analysis - Vesta Forum - Exploitation Chatter - VestaCP Debian Installer Patch Commit - VestaCP Compromise Commit - VestaCP Product Site - VestaCP GitHub Repo 発見者: カスペルスキー研究所 (Kaspersky Labs) 説明: - VestaCP コミット a3f0fa1 (2018-05-31) から コミット ee03eff (2018-06-13) までのバージョンには、サプライチェーン侵害を招いた悪意あるコードが埋め込まれていました。2018年5月以降、侵害されたインストーラを使用して作成された新しいインストール環境では、Lua を第2および第3段階のコンポーネントとして使用するマルチステージDDoSボットである「Linux/ChachaDDoS」がインストールされるリスクがありました。この侵害により、インストール時またはおよび/またはローカルシステムの権限でDDoSマルウェアペイロードがドロップされて実行される際に、管理資格情報（base64エンコードされた管理者パスワードおよびサーバードメイン）が外部URLに漏洩しました。その後、侵害されたサーバーが大規模なDDoS攻撃に参加していることが確認されました。Vesta社は2018年10月、実環境での悪用を認めています。