JVN（Japan Vulnerability Notes）は、IBMのSecurity Verify Access等の複数製品において、管理インターフェースに対する書式文字列インジェクション（format string injection）の脆弱性があると公表した。影響を受ける環境では、攻撃者が細工したHTTPリクエストを送信することで、サービス拒否（DoS）や情報漏えいなどにつながる可能性がある。
脆弱性の詳細
JVN（Japan Vulnerability Notes）によると、IBMのSecurity Verify Access等の複数製品に、管理インターフェースに対する書式文字列インジェクションの脆弱性が存在する。この脆弱性は、外部から与えられた文字列をログ出力やエラーメッセージ生成の過程で書式文字列として不適切に扱ってしまうことにより、予期しない情報の参照や異常動作を引き起こし得る問題として知られている。
本件は、管理インターフェースに送信されるHTTPリクエスト中の特定の入力項目が書式文字列として解釈されてしまうことで、サービス拒否（DoS）状態の発生や、本来外部から参照されることを想定していない情報が露出する可能性があるとされている。攻撃はリモートから実施可能であり、特定の管理系エンドポイントに到達できることが前提となる。
なお、本件のCVE番号およびCVSSスコア、攻撃ベクタ、悪用条件などの評価については、JVN（Japan Vulnerability Notes）が公表した当該アドバイザリ本文に記載された内容に従って確認が必要である。自社の運用形態（インターネット公開の有無、認証前後の到達可否、管理インターフェースへのアクセス経路など）により、影響範囲や悪用リスクの見え方が変わり得るため、記載の前提条件を踏まえて判断することが重要である。
JVN（Japan Vulnerability Notes）は、影響を受ける製品を使用している場合、ベンダーが提供する修正プログラム等の適用を含む対策を検討するよう注意喚起している。脆弱性が悪用された場合、内部情報の露出やサービス停止等、業務継続に影響する可能性があるため、優先的な対応が望ましい。
影響を受ける製品・バージョン
- IBM Security Verify Access 10.0 から 10.0.9.2 まで
- IBM Verify Identity Access 11.0 から 11.0.3 まで
- IBM Verify Identity Access Container 11.0 から 11.0.3 まで
上記のうち、どの構成・モジュールが対象となるか、詳細な対象製品名・対象バージョン、ならびに適用対象となるエディションや配備形態については、JVN（Japan Vulnerability Notes）の当該アドバイザリおよびIBMが公表するセキュリティ情報に記載された内容に従うことが必要である。
推奨される対策
- ベンダー提供の修正適用：JVN（Japan Vulnerability Notes）が参照するベンダー情報に従い、該当製品の修正プログラム、修正済みバージョン、暫定措置の有無を確認して適用する。IBMからは、IBM Security Verify Accessについては修正済みバージョン 10.0.9.2、IBM Verify Identity AccessおよびIBM Verify Identity Access Containerについては修正済みバージョン 11.0.3 など、アップデート版への更新が案内されているため、これらへの更新可否を検討する。
- 影響範囲の切り分け：対象製品の管理インターフェースが外部公開されているか、管理画面や認証基盤として利用しているか、ログ連携の経路（SIEM送信、syslog転送等）を棚卸しし、攻撃者からの到達可能性を確認する。インターネットから直接またはVPN経由で管理系インターフェースに到達可能な構成でないかを洗い出す。
- 監視とログ確認の強化：更新までの間、エラーログや認証ログ、管理インターフェースへのアクセスログに不審な入力や異常なエラー出力が増えていないか確認し、フォーマット文字列を悪用したと疑われる攻撃パターン（特殊な記号や書式指定子が多用された文字列など）を検知できるよう、監視ルールを強化する。
- 回避策の適用可否の確認：運用上すぐに更新できない場合、JVN（Japan Vulnerability Notes）が示すベンダーの回避策（設定変更、管理インターフェースへのアクセス制限、リバースプロキシやVPNを用いた到達経路の限定など）が提示されているか確認し、適用可否を判断する。設定で問題となる機能を一時的に停止できる場合は、その影響範囲と業務影響を評価した上で適用する。
日本の中小企業が今すぐ取るべき行動
- 最優先：該当有無の確認：社内で利用している認証・アクセス制御系製品にIBM Security Verify Access、IBM Verify Identity Access、IBM Verify Identity Access Containerが含まれるか、製品名とバージョンを棚卸しする。特に、クラウドサービスやマネージドサービスの一部として利用している場合、サービス提供者側で同製品を利用していないかも確認する。
- 次に：更新計画の確定：保守ベンダーまたはシステムインテグレーター（SI）担当者に、JVN（Japan Vulnerability Notes）の対象製品・対象バージョンに該当するか確認を依頼し、IBMが提示する修正済みバージョンへの更新計画を立てる。あわせて、更新作業の実施日時と影響範囲、必要な事前検証の内容を確定する。
- 更新まで：外部到達性の低減：インターネットから管理系機能へ到達できる構成になっていないか確認し、必要に応じてアクセス元制限（IP制限、VPN必須化、ゼロトラスト型のアクセス制御など）や経路の見直しを行う。管理インターフェースを社外から直接アクセス可能な状態にしないことが重要である。
- 兆候確認：ログの点検：直近のログで不審なリクエストや異常終了がないか、特に管理インターフェースへのアクセスログ、認証・アクセス制御に関わるログを重点的に確認する。特定の管理画面へのリクエスト件数が急増していないか、同一IPからの連続した試行がないかなども併せて確認する。
CSRIからの現場アドバイス
実際のペネトレーションテストでは、認証基盤やアクセス制御製品のエラー処理・ログ出力が外部入力をそのまま扱ってしまう箇所が起点となり、情報の露出や想定外の挙動が見つかることがある。診断報告書でよく指摘されるのが、更新判断が担当者任せで、保守窓口との連携が遅れる点だ。脆弱性情報が公開されても、対象製品・バージョンの洗い出しと更新計画の策定が後回しになりがちである。
例えるなら、伝票に書かれた記号を「計算の指示」と勘違いして処理してしまうようなものだ。つまり、利用者が入力した文字が、画面表示や記録の段階で特別な意味を持ってしまい、見せたくない情報が出たり、処理が崩れたりする可能性があるということだ。書式文字列インジェクションの問題は、こうした「入力値が本来意図しない指示として解釈される」ことによって発生する。
まず対象製品の名称とバージョンを一覧化し、JVN（Japan Vulnerability Notes）の対象に該当するかを保守ベンダーに確認する。次に修正適用の手順と所要時間、切り戻し方法を事前に決め、業務影響の少ない時間帯で更新日程を確保する。併せて更新までの間は管理画面への到達経路を絞り、不要な公開や広すぎるアクセス許可が残っていないかを点検することが重要である。