【要点】
◎ServiceNowは、未認証ユーザーが他者になりすませるAI基盤の重大脆弱性を修正し、早急な更新適用を推奨した (BleepingComputer)
【訳】
ServiceNow、未認証ユーザーによるなりすましを可能にする重大なAIプラットフォームの脆弱性を修正
【脆弱性内容】 (★: TT 脆弱性 Blog 内の詳細記事リンク)
| ★ |
CVE公開日 |
CVE登録日 |
CVE番号 |
NVD |
ベンダー |
CVSS v4 |
CVSS v3 |
CWE |
脆弱性 |
KEV公開日 |
備考 |
|---|---|---|---|---|---|---|---|---|---|---|---|
| 2026/01/12 | 2025/10/28 | CVE-2025-12420 | NVD | ServiceNow | 9.3(ServiceNow) |
9.8(NVD) |
CWE-250 | 不要な特権による実行 | Now Assist AI Agents, 別名: BodySnatcher |
【要約】
ServiceNow は、同社AIプラットフォームに存在した重大な脆弱性 CVE-2025-12420（通称：BodySnatcher） を修正した。本欠陥は、未認証の攻撃者がメールアドレスのみで任意ユーザーになりすまし、MFAやSSOを迂回してAIエージェントを実行できる可能性があるもの。CVSSは9.3と高く、管理者権限での操作やバックドア作成、データ流出につながる恐れがあった。2025年10月30日までに大半のホスト型環境へ修正が展開されており、Now Assist AI AgentsやVirtual Agent APIの指定バージョン以降で対策済み。実悪用は確認されていないが、影響を受ける環境では速やかな更新が求められる。
【ニュース】
◆ServiceNow Patches Critical AI Platform Flaw Allowing Unauthenticated User Impersonation (BleepingComputer, 2026/01/13)
[ServiceNow、未認証ユーザーによるなりすましを可能にする重大なAIプラットフォームの脆弱性を修正]
https://thehackernews.com/2026/01/servicenow-patches-critical-ai-platform.html
【関連まとめ記事】
◆サービス: ServiceNow (まとめ)
https://vul.hatenadiary.com/entry/ServiceNow
