JVN（Japan Vulnerability Notes）は、IBM Financial Transaction ManagerにおけるXML外部エンティティ（XXE）の脆弱性を公表した。細工されたXMLを処理させられると、外部エンティティを通じて情報を取得されたり、サーバから意図しない外部通信を発生させられたりするおそれがある。
脆弱性の詳細
IBM Financial Transaction Managerには、XML文書の処理に関連するXML外部エンティティ（XXE）の脆弱性が存在する。攻撃者が細工したXMLを製品に処理させることで、本来参照すべきでないローカルファイルや内部ネットワーク上のリソースを参照させたり、サーバから外部への通信を発生させたりできる可能性がある。
本件のCVE番号、CVSSスコア、攻撃ベクタおよび攻撃成立条件の詳細は、参照先のJVNアドバイザリに記載された内容を確認する必要がある。現時点で確認できる情報だけでは、記事データに記載されたCVE番号、CVSSスコアおよび具体的な攻撃ベクタを特定できないため、詳細は現時点で不明である。
悪用された場合、機密情報の漏えい、内部ネットワーク上のサービスに対する通信の踏み台化、意図しない外部通信などにつながるおそれがある。取引処理やメッセージ連携に利用される環境では、XML入力を受け付ける連携経路や処理コンポーネントを確認する必要がある。
影響を受ける製品・バージョン
- IBM Financial Transaction Manager（影響を受ける具体的な製品エディションおよびバージョンは、JVNアドバイザリまたはIBMのセキュリティ情報で確認が必要）
推奨される対策
- 修正プログラムの適用：IBMが提供する修正プログラム、暫定修正またはFix Packの有無を確認し、影響を受ける環境に適用する。IBM Financial Transaction Manager for Red Hat OpenShiftについては、環境により対象バージョンや修正済みバージョンが異なるため、導入形態を確認したうえで対応する。
- 設定・運用の見直し：修正適用までの間、XMLパーサーで外部エンティティおよび外部DTDの参照を無効化できるか確認する。ただし、製品仕様や業務連携への影響があるため、IBMまたは保守ベンダーの案内に従って実施する。
- 影響範囲の確認：外部連携、ファイル取り込み、APIおよびメッセージング経路など、製品が処理するXML入力の到達経路を棚卸しする。
- 監視強化：製品サーバから内部ネットワークまたはインターネット上の不審な宛先への通信、XML処理エラーの増加、異常なファイル参照の痕跡を確認する。
日本の中小企業が今すぐ取るべき行動
- 最優先：自社での利用有無を確認：IBM Financial Transaction Managerの導入有無と、本番、検証、災害復旧環境での稼働状況を確認する。
- 次に：該当バージョンか確認：製品エディション、バージョン、Fix PackまたはiFixの適用状況を確認し、JVNおよびIBMの対象製品情報と照合する。
- 対応期限を決めて更新計画を作成：取引処理への影響、停止時間、切り替え手順およびロールバック手順を整理し、修正適用日を確定する。
- パッチ適用までの暫定策を適用：外部エンティティ参照の無効化、XML入力経路の制限、外向き通信の制御など、製品の動作に支障がない範囲で軽減策を実施する。
- 連携先も含めて点検：取引先接続、ゲートウェイ、バッチ取り込みおよびAPIなど、XMLを受け付ける経路を確認し、不要な接続を停止または制限する。
CSRIからの現場アドバイス
XML入力を受け付ける業務連携では、入力検証やXMLパーサーの安全設定が不十分なまま外部から到達できる経路が残っているケースがあります。製品の設定だけでなく、連携サーバ、ゲートウェイおよび周辺コンポーネントを含めて外部エンティティ参照の扱いを確認してください。
例えるなら、書類（XML）に「この箱の中身も一緒に見て」と書かれていると、サーバがその指示どおり社内の保管庫（内部ファイル）まで確認してしまうようなものです。攻撃者が細工したXMLによって、サーバに本来アクセスさせるべきでない場所を参照させられる危険があります。
まず運用台帳や構成管理からIBM Financial Transaction Managerの製品エディション、バージョンおよびFix Packの適用状況を確認してください。次に保守ベンダーへ、該当するIBMおよびJVNの情報に基づく修正の有無、適用手順、停止時間および影響範囲を確認します。修正適用までの間は、XML入力経路と外向き通信を点検し、不審な通信や異常なXML処理がないか確認してください。
参照: IBMのIBM Financial Transaction ManagerにおけるXML 外部エンティティの脆弱性