JVN（Japan Vulnerability Notes）は、IBMのIBM iにおいて、重要なリソースへの不適切なパーミッション割り当てに関する脆弱性を公表した。権限設定の不備により、権限を持たない攻撃者が本来許可されていない操作を実行できる可能性がある。現時点で、CVE番号、CVSSスコア、具体的な影響範囲および悪用条件の詳細は確認できない。
脆弱性の詳細
本件は、IBM iにおける重要なリソースのアクセス制御が適切に設定されていないことに起因する脆弱性である。攻撃者がこの不備を悪用した場合、権限を超えたリソースへのアクセスや、本来許可されていない操作が可能になるおそれがある。
具体的な攻撃経路、必要な権限、攻撃条件、悪用によって可能となる操作の範囲については、現時点で詳細は不明である。ネットワーク経由での直接的な悪用が可能か、認証済みユーザーの権限が必要かについても、確認できる情報は限られている。
影響を受ける環境では、重要なリソースの機密性、完全性または可用性に影響が及ぶ可能性がある。ただし、情報漏えい、データ改ざん、サービス停止などの具体的な影響については、対象となるリソースおよび構成によって異なるため、詳細は現時点で不明である。
影響を受ける製品・バージョン
- IBM i（JVNおよびIBMが対象として示すバージョン・構成）。対象バージョンの具体的な範囲は、提供元のセキュリティ情報および修正情報で確認する必要がある。
推奨される対策
- 提供元の修正情報の適用：IBMが提供する修正プログラム、PTF、更新情報などを確認し、対象環境に適用する。適用前には検証環境で動作を確認し、本番環境へ段階的に展開する。
- 権限設定の点検と是正：重要なリソースに過剰な権限が付与されていないか確認し、不要な権限を削除する。共有アカウント、特権アカウントおよび運用アカウントについては、利用者、権限、利用目的を棚卸しする。
- 監査・ログの強化：権限変更、特権アカウントの利用、重要リソースへのアクセスを記録し、異常な操作を確認できる状態にする。ログの保存期間と確認担当者も明確にする。
- 暫定的な影響低減：修正を直ちに適用できない場合は、対象機能やリソースへのアクセスを必要最小限に制限し、不要なアカウントや権限を一時的に無効化する。具体的な回避策については、IBMの案内を確認する。
日本の中小企業が今すぐ取るべき行動
- 対象有無の確認：自社または委託先がIBM iを利用しているかを確認し、IBM iのバージョン、適用済みPTF、システム構成を把握する。
- 修正適用計画の決定：IBMまたは保守ベンダーの修正情報を確認し、検証、本番適用、適用後確認の担当者と実施日を決める。
- 重要リソースの権限棚卸し：業務データ、基幹処理に関わるオブジェクト、共有領域および特権アカウントを優先して点検し、最小権限に是正する。
- ログ確認の実施：権限変更や重要リソースへのアクセス履歴を確認し、通常と異なる操作や身に覚えのない変更がないか調査する。
- 関係者への注意喚起：社内の運用担当者と委託先に対し、権限変更の承認、作業記録、緊急変更時の事後確認を徹底するよう周知する。
CSRIからの現場アドバイス
IBM iのような基幹システムでは、運用上の都合で付与された権限が長期間残り、不要なアクセス権が見過ごされることがある。今回のようなアクセス制御の不備では、脆弱性そのものだけでなく、共有アカウントや過剰な特権が被害の拡大要因になり得る。
まず、IBM iの利用状況、バージョン、保守契約先、適用済みPTFを一覧化する。次に、重要リソースと特権アカウントの権限を確認し、業務上不要な権限を削除する。修正適用まで時間を要する場合は、対象リソースへのアクセスを限定し、監査ログを強化する。
最後に、権限変更と重要リソースへのアクセス履歴を確認し、不審な操作が見つかった場合は、影響範囲を保全したうえで保守ベンダーやセキュリティ担当者に相談する。具体的なCVE番号、CVSSスコア、攻撃経路および対象バージョンの詳細は、IBMの正式なセキュリティ情報で確認する必要がある。