IBMのAPIゲートウェイ製品「IBM DataPower Gateway」で複数の脆弱性が報告され、利用者に対して対象バージョンの確認と修正版への更新などの対応が求められている。
事案の詳細
IBM DataPower Gatewayでは、複数の脆弱性に関するセキュリティ情報が公開されている。確認できる情報には、サービス拒否につながる脆弱性や、認証済み攻撃者がシステム経由で不正なリクエストを送信できる可能性があるサーバサイドリクエストフォージェリ（SSRF）、Webユーザーインタフェースへの任意のJavaScriptコード埋め込みによって機能改変や認証情報の漏えいにつながる可能性がある問題などが含まれる。
対象製品・バージョンは脆弱性によって異なる。IBMの公開情報では、IBM DataPower Gateway 10.5.0、10.6.0、10.6CDなどの複数のリリースが対象とされ、修正版として10.5.0.21、10.6.0.9、11.0.0.0などが示されている。ただし、脆弱性ごとに影響範囲と修正バージョンが異なるため、単一の更新先だけで判断せず、該当するIBMセキュリティ情報を確認する必要がある。
一部の脆弱性では、サービス拒否により可用性へ影響する可能性があるほか、SSRFではネットワークの列挙や他の攻撃の促進につながる可能性がある。Webユーザーインタフェースに関する問題では、認証済みセッションや信頼された利用環境への影響が想定される。実際の被害の有無や、個別環境で攻撃が成立する条件については、現時点で詳細は不明である。
影響と背景
APIゲートウェイは、認証、経路制御、変換、外部システムとの通信などを担い、複数の業務システムをつなぐ要所として運用される。今回のようにサービス拒否、リクエスト処理、Webユーザーインタフェース、サーバサイドリクエストに関係する問題が複数確認されている場合、可用性だけでなく、管理機能やネットワーク境界への影響も検討する必要がある。
特に、IBM DataPower Gatewayを外部公開環境や内部ネットワークとの境界に配置している場合、対象バージョンの確認が遅れると、攻撃条件が成立した際の影響範囲を把握しにくくなる。なお、脆弱性ごとの深刻度、攻撃に必要な権限、実被害の発生状況は、各セキュリティ情報の内容によって異なるため、製品の導入有無だけでなく、構成や公開範囲も確認する必要がある。
対策・今後の展望
利用者は、IBM DataPower Gatewayの導入有無、稼働バージョン、エディション、公開範囲を確認し、該当するIBMのセキュリティ情報に基づいて修正版へ更新する必要がある。IBMは脆弱性ごとに修正版を示しており、対象バージョンでは10.5.0.21、10.6.0.9、11.0.0.0などが修正先として案内されているが、適用可否は脆弱性と利用環境ごとに確認しなければならない。
- 資産の棚卸し：IBM DataPower Gatewayの利用部署、稼働環境、本番・検証・災害対策環境、エディション、現行バージョンを確認する。
- 脆弱性情報との照合：各セキュリティ情報で示された対象バージョン、攻撃条件、修正版を確認し、自組織の構成に該当するか判定する。
- 更新計画の策定：保守窓口や運用担当と連携し、バックアップ、検証、更新、本番反映、ロールバックの手順を定める。
- 公開範囲とアクセス制御の確認：管理インタフェースやAPIの公開状況を確認し、不要な外部アクセスを制限する。
- 更新後の監視：サービス拒否の兆候、不審な外向き通信、管理画面への不正操作、認証情報に関係する異常を確認する。
CSRIからの現場アドバイス
【現場で何が起きているか】CSRIの中小企業向け診断では、外部公開に近い中継機器やゲートウェイが導入後に継続運用され、バージョン確認や更新手順が運用に組み込まれていない例が見られます。MDRでも、境界機器の更新遅れが疑われる通信や管理画面へのアクセスについて、調査相談が継続的に入ります。
【平易な解説】会社の受付で来訪者を確認する担当者が、古い確認手順のまま業務を続けている状態に近いといえます。入口に近い製品に弱点がある場合、サービス停止だけでなく、内部ネットワークへの不正なリクエストや管理機能への影響につながる可能性があります。まずは、どの環境でどのバージョンを使っているかを確認してください。
【今週中にできること】社内の構成図や機器一覧からIBM DataPower Gatewayの有無を確認し、現行バージョン、エディション、公開範囲、最終更新日を記録してください。次に、IBMの該当するセキュリティ情報と照合し、保守契約窓口やベンダー連絡先を整理します。更新が必要な場合は、検証環境、バックアップ、作業日程、切り戻し手順を確保し、管理インタフェースや不要な外部アクセスの制限も確認してください。