IBM i 関連の脆弱性情報 | IBM i 総合情報サイト iWorld(アイワールド)

IBM i 関連の脆弱性情報

IBM i 関連の脆弱性情報サマリー（Log4j以外）を随時お知らせします。
Log4j関連の情報についてはこちらをご参照ください。
https://www.i-cafe.info/column/product/apache_log4j_20211220

2023年5月23日

サマリー

IBM i で使用される IBM® SDK Java™ Technology Edition および IBM® Runtime Environment Java™ には、脆弱性の詳細セクションに記載されているように、欠陥と設定の組み合わせにより機密情報を暴露する脆弱性があります。この脆弱性は、改善/修正セクションに記載されているように、IBM i Group PTF for Javaを適用することで修正されます。

脆弱性の詳細

CVEID:CVE-2023-30441
説明：IBM Runtime Environment, Java Technology Edition IBMJCEPlusおよびJSSEコンポーネントは、欠陥と設定の組み合わせにより、機密情報を暴露する可能性があります。
CVSSベーススコア：7.5

対処法

この脆弱性は、最新のJava Group PTFを適用することで修正することができます。 IBM iのリリース7.5、7.4、7.3、および7.2が修正されます。

下表のIBM i Group PTF番号とレベルを列挙したセキュリティ情報が既に提供されており、脆弱性/詳細セクションに記載されているCVEを解決しています。記載されているIBM i Group PTF番号とレベルがすでに適用されている場合、それ以上の対応は必要ありません。

IBM i グループの PTF 番号には、脆弱性の修正が含まれています。今後のJava用のグループPTFにも、この脆弱性の修正が含まれる予定です。

IBM i リリース	5770-JV1 グループ PTF番号とレベル	PTFダウンロードリンク
7.5	SF99955 Level 3	https://www.ibm.com/support/pages/uid/nas4SF99955
7.4	SF99665 Level 16	https://www.ibm.com/support/pages/uid/nas4SF99665
7.3	SF99725 Level 27	https://www.ibm.com/support/pages/uid/nas4SF99725
7.2	SF99716 Level 37	https://www.ibm.com/support/pages/uid/nas4SF99716

IBM i向けの最新のJava情報については、このURLのJavaドキュメントを参照してください：
https://www.ibm.com/support/pages/java-ibm-i

本製品で提供されるIBM Java Runtimeを使用して独自のJavaコードを実行する場合は、コードを評価し、追加のJava脆弱性が自分のコードに適用されるかどうかを判断する必要があります。脆弱性の完全なリストについては、以下の「IBM Java SDK Security Vulnerabilities」を参照し、詳細を確認してください。
IBM Java SDK Security Vulnerabilities

重要なお知らせ

IBM では、サポートされていないバージョンの対象製品を使用しているすべてのユーザーに対して、対象製品のサポートおよび修正済みのバージョンへのアップグレードを推奨しています。

詳細/原文

Security Bulletin: IBM Java SDK and IBM Java Runtime for IBM i are vulnerable to exposing sensitive information due to flaws and configurations (CVE-2023-30441).
詳細・原文はこちらから

2023年5月9日

サマリー

OpenSSL for IBM i には、証明書検証のエラーによるサービス拒否 (CVE-2023-0464) 、 memcmp への任意のポインタによるサービス拒否 (CVE-2023-0286) 、ダブルフリーエラーによるサービス拒否 (CVE-2022-4450) の脆弱性があります、脆弱性の詳細セクションに記載されているように、use-after-freeエラーによるサービス拒否（CVE-2023-0215）、およびRSA復号化におけるタイミングベースのサイドチャネル（CVE-2022-4304）によるリモート攻撃で機密情報を取得できることです。IBM i は、改善/修正セクションに記載されているように、OpenSSL の脆弱性に修正プログラムで対処しています。

脆弱性の詳細

CVEID:CVE-2023-0464
説明：OpenSSL には、ポリシー制約を含む X.509 証明書チェーンの検証に関するエラーにより、サービス拒否の脆弱性があります。計算資源の指数的な使用を誘発する特別に細工された証明書チェーンを作成することで、遠隔地の攻撃者はこの脆弱性を悪用してサービス拒否を引き起こすことができます。
CVSSベーススコア：5.3

CVEID:CVE-2023-0286
説明：OpenSSL には、X.509 GeneralName 内の X.400 アドレス処理に関連する型の混同エラーによるサービス拒否の脆弱性があります。memcmp 呼び出しに任意のポインタを渡すことで、遠隔地の攻撃者はこの脆弱性を悪用してメモリの内容を読んだり、サービス拒否を引き起こすことができます。
CVSSベーススコア：8.2

CVEID:CVE-2022-4450
説明：OpenSSL には、PEM_read_bio_ex() 関数による特定の PEM データの不適切な処理に関連するダブルフリーエラーが原因で、サービス拒否の脆弱性があります。特別に細工された PEM ファイルを送信して解析させることで、遠隔地の攻撃者はこの脆弱性を悪用してシステムをクラッシュさせることができます。
CVSSベーススコア：7.5

CVEID:CVE-2022-4304
説明：OpenSSL は、RSA Decryption の実装にあるタイミングベースのサイドチャネルが原因で、リモートの攻撃者が機密情報を取得することができる可能性があります。攻撃者は、復号化のために過度に多くの試行メッセージを送信することで、この脆弱性を悪用して機密情報を取得することができます。
CVSSベーススコア：7.5

CVEID:CVE-2023-0215
説明：OpenSSL には、BIO_new_NDEF 関数によるストリーミング ASN.1 データの不正な処理に関連する use-after-free エラーが原因で、サービス拒否の脆弱性があります。リモートの攻撃者は、この脆弱性を悪用してサービス拒否を引き起こす可能性があります。
CVSSベーススコア：7.5

対処法

IBM iのリリース7.5、7.4、7.3、7.2に以下の5733-SC1用のPTFを適用することでこの問題を修正することができます。

IBM i リリース	5733-SC1 PTF 番号	PTF Download Link
7.5	SI83245	https://www.ibm.com/support/pages/ptf/SI83245
7.4, 7.3, 7.2	SI83194	https://www.ibm.com/support/pages/ptf/SI83194

重要なお知らせ

詳細/原文

Security Bulletin: OpenSSL for IBM i is vulnerable to denial of service attacks and the ability for remote attacker to obtain sensitive information due to multiple vulnerabilities.
詳細・原文はこちらから

2023年5月2日

サマリー

IBM i には、脆弱性の詳細セクションに記載されているように、不適切な SQL 処理により、認証された管理者が昇格した特権を得る脆弱性があります。IBM i は、改善/修正セクションに記載されているように、SQL 処理における脆弱性に対処しています。

脆弱性の詳細

CVEID:CVE-2023-23470
説明：IBM i では、不適切な SQL 処理の結果、認証された特権管理者がデフォルト以外の構成で昇格した特権を得ることができる可能性があります。特別に細工された SQL 操作を使用することで、管理者はこの脆弱性を悪用して追加の管理者操作を実行することができます。
CVSSベーススコア：6.4

対処法

IBM iのリリース7.5、7.4、7.3、7.2にPTFを適用することでこの問題を修正することができます。

本脆弱性の修正プログラムを含むPTF番号は、以下の表のとおりです。

IBM i リリース	5770-SS1 PTF番号	PTF ダウンロードリンク
7.5	SI82753	https://www.ibm.com/support/pages/ptf/SI82753
7.4	SI82754	https://www.ibm.com/support/pages/ptf/SI82754
7.3	SI82755	https://www.ibm.com/support/pages/ptf/SI82755
7.2	SI82756	https://www.ibm.com/support/pages/ptf/SI82756

重要なお知らせ

詳細/原文

Security Bulletin: IBM i is vulnerable to an authenticated administrator gaining elevated privileges due to improper SQL processing.
詳細・原文はこちらから

2023年5月1日

サマリー

IBM WebSphere Application Server for IBM i は、href 属性の解析の欠陥によるサーバーサイドリクエストフォージェリーの脆弱性があり（CVE-2022-46364）、脆弱性の詳細セクションに記載されているように、一時ファイルの不適切なパーミッションにより攻撃者が機密情報を取得したり（CVE-2022-45787）、安全ではない一時ファイルにより攻撃者が昇格権限を獲得したり（CVE-2023-0482）、ファイルアップロード要求機能が限定されないことによるサービス拒否（CVE-2023-24998）が影響しています。IBM WebSphere Application Server Liberty for IBM iは、改善/修正セクションに記載されているように、修正プログラムで脆弱性に対処しています。

脆弱性の詳細

CVEID:CVE-2022-45787
IBM WebSphere Application Server for IBM i は、href 属性の解析の欠陥によるサーバーサイドリクエストフォージェリーの脆弱性があり（CVE-2022-46364）、脆弱性の詳細セクションに記載されているように、一時ファイルの不適切なパーミッションにより攻撃者が機密情報を取得したり（CVE-2022-45787）、安全ではない一時ファイルにより攻撃者が昇格権限を獲得したり（CVE-2023-0482）、ファイルアップロード要求機能が限定されないことによるサービス拒否（CVE-2023-24998）が影響しています。IBM WebSphere Application Server Liberty for IBM iは、改善/修正セクションに記載されているように、修正プログラムで脆弱性に対処しています。

CVEID:CVE-2022-46364
説明：Apache CXF には、MTOM リクエストにおける XOP:Include の href 属性の解析の不具合により、サーバーサイドのリクエストフォージェリの脆弱性があります。特別に細工されたリクエストを使用することで、攻撃者はこの脆弱性を悪用して SSRF 攻撃を行うことができます。
CVSSベーススコア：7.5

CVEID:CVE-2023-0482
説明：RESTEasyは、DataSourceProvider、FileProvider、Mime4JWorkaroundクラスで使用されるFile.createTempFile()で安全でないテンポファイルを作成することが原因で、ローカル認証攻撃者がシステム上で高い権限を得ることができます。特別に細工されたリクエストを送信することで、認証された攻撃者はこの脆弱性を悪用し、昇格した特権を得ることができます。
CVSSベーススコア：5.3

CVEID:CVE-2023-24998
説明：Apache Commons FileUpload と Tomcat には、ファイルアップロード機能で処理するリクエストパートの数を制限していないことが原因で、サービス拒否状態に陥る脆弱性があります。この脆弱性を利用することで、遠隔地の攻撃者は、一連のアップロードを含む特別に細工されたリクエストを送信し、サービス拒否の状態を引き起こすことができます。
CVSSベーススコア：7.5

対処法

この問題は、Liberty ランタイムをバージョン 23.0.0.3 にアップグレードする PTF を IBM i に適用することで修正することができます。IBM i のリリース 7.5、7.4、7.3、および 7.2 が修正される予定です。

本脆弱性の修正プログラムを含むPTF番号は、以下の表のとおりです。

IBM i リリース	5770-SS1 Option 3 PTF	PTF ダウンロードリンク
7.5	SI83113	https://www.ibm.com/support/pages/ptf/SI83113
7.4	SI83114	https://www.ibm.com/support/pages/ptf/SI83114
7.3	SI83115	https://www.ibm.com/support/pages/ptf/SI83115
7.2	SI83116	https://www.ibm.com/support/pages/ptf/SI83116

重要なお知らせ

詳細/原文

Security Bulletin: IBM WebSphere Application Server Liberty for IBM i is vulnerable to a server-side request forgery, a denial of service, an attacker obtaining sensitive information, and gaining elevated privileges due to multiple vulnerabilities
詳細・原文はこちらから

2023年4月19日

サマリー

IBM i 用の IBM HTTP Server (powered by Apache) には、脆弱性の詳細セクションに記載されているように、悪意のあるバックエンドの使用による HTTP 応答分割攻撃および境界外読み取りまたは書き込みによるサービス拒否攻撃に対する脆弱性があります。IBM i は、修復/修正セクションに記載されているように、Apache HTTP Server の実装に修正を提供することでCVEに対処しました。

脆弱性の詳細

CVEID:CVE-2022-37436
説明：Apache HTTP Server は、mod_proxy が悪意のあるバックエンドを使用することで、HTTP レスポンス分割攻撃の脆弱性を有しています。リモートの攻撃者はこの脆弱性を利用して、任意のHTTPヘッダーを注入し、URLがクリックされると、サーバーが分割された応答を返すように仕向けることができます。これにより、攻撃者はWebキャッシュポイズニングやクロスサイトスクリプティングなどのさらなる攻撃を行うことができ、機密情報を取得できる可能性があります。
CVSSベーススコア：6.1

CVEID:CVE-2006-20001
説明：Apache HTTP Server には、mod_dav の 0 の境界外読み取りまたは書き込みによるサービス拒否の脆弱性があります。特別に細工された If: リクエストヘッダを送信することで、攻撃者はこの脆弱性を悪用し、プロセスをクラッシュさせることができます。
CVSSベーススコア：5.3

対処法

IBM iのリリース7.5、7.4、7.3、7.2にPTFを適用することでこの問題を修正することができます。
本脆弱性の修正プログラムを含むPTF番号は、以下の表のとおりです。

IBM i リリース	5770-DG1 PTF Number	PTF Download Link
7.5	SI82700	https://www.ibm.com/support/pages/ptf/SI82700
7.5	SI82701	https://www.ibm.com/support/pages/ptf/SI82701
7.4	SI82702	https://www.ibm.com/support/pages/ptf/SI82702
7.4	SI82703	https://www.ibm.com/support/pages/ptf/SI82703
7.3	SI82704	https://www.ibm.com/support/pages/ptf/SI82704
7.3	SI82705	https://www.ibm.com/support/pages/ptf/SI82705
7.2	SI82706	https://www.ibm.com/support/pages/ptf/SI82706
7.2	SI82707	https://www.ibm.com/support/pages/ptf/SI82707

重要なお知らせ

詳細/原文

Security Bulletin: IBM HTTP Server (powered by Apache) for IBM i is vulnerable to HTTP response splitting and denial of service attacks (CVE-2022-37436, CVE-2006-20001)
詳細・原文はこちらから

2023年4月13日

サマリー

IBM i DNS Server の実装は ISC BIND を使用しています。ISC BINDは、脆弱性の詳細セクションに記載されているように、アクセス許可をチェックする前にメモリを割り当てること、およびstale-answer-client-timeoutオプションの実装の欠陥によるサービス拒否攻撃に対して脆弱性があります。IBM i は、改善/修正セクションに記載されているように、IBM i DNS への修正で該当する CVE に対処しました。

脆弱性の詳細

CVEID:CVE-2022-3094
説明：ISC BIND には、アクセス許可 (ACL) をチェックする前にメモリが割り当てられることに起因する、サービス拒否の脆弱性があります。UPDATEメッセージのフラッドを送信することで、リモートの攻撃者はこの脆弱性を悪用し、namedが利用可能なメモリをすべて使い果たしてしまう可能性があります。
CVSSベーススコア：7.5

CVEID:CVE-2022-3924
説明：ISC BIND には、stale-answer-client-timeout オプションの実装に不備があるため、サービス拒否の脆弱性があります。リゾルバに特定のクエリを送信することで、リモートの攻撃者はこの脆弱性を悪用して named をクラッシュさせることができます。
CVSSベーススコア：7.5

CVEID:CVE-2022-3736
説明：ISC BIND には、stale-answer-client-timeout オプションの実装に不備があるため、サービス拒否の脆弱性があります。リゾルバに RRSIG クエリを送信することで、リモートの攻撃者はこの脆弱性を利用し、stale cache および stale answers が有効な場合に named をクラッシュさせることができます。
CVSSベーススコア：7.5

対処法

この問題は、IBM i に PTF を適用することで修正することができます。 IBM iのリリース7.5、7.4、7.3、および7.2が修正される予定です。
本脆弱性の修正プログラムを含むPTF番号は、以下の表のとおりです。

IBM i リリース	5770-SS1 Option 31 PTF 番号	PTF Download Link
7.5	SI82623	https://www.ibm.com/support/pages/ptf/SI82623
7.4	SI82624	https://www.ibm.com/support/pages/ptf/SI82624
7.3	SI82625	https://www.ibm.com/support/pages/ptf/SI82625
7.2	SI82626	https://www.ibm.com/support/pages/ptf/SI82626

重要なお知らせ

詳細/原文

Security Bulletin: IBM i DNS is affected by denial of service attacks due to flaws in ISC BIND (CVE-2022-3094, CVE-2022-3736, CVE-2022-3924).
詳細・原文はこちらから

2023年3月30日

サマリー

Db2 Web Query、ならびにIBM Navigator for iとIBM Digital Certificate Manager for iは、IBM Toolbox for Javaを使用して、IBM iのインターフェースにアクセスします。IBM Toolbox for Javaは、脆弱性の詳細セクションに記載されているように、Java文字列として保存されている機密情報を攻撃者が取得することができる可能性があります。Db2 Web Queryは、対処法セクションに記載されているように、この脆弱性を修正することで対処しました。

脆弱性の詳細

CVEID: CVE-2022-43928
説明：IBM Toolbox for Javaは、処理にJava文字列を利用することによって、ユーザーが機密情報を取得することができる可能性があります。Java文字列は不変であるため、その内容はガベージコレクションされるまでメモリ上に存在します。これは、機密データが不特定多数の時間にわたってメモリ上に表示される可能性があることを意味します。IBMは、機密データがメモリ上に表示される時間を短縮することで、この問題に対処しています。
CVSSベーススコア：4.9

対処法

IBM では、今すぐこの脆弱性に対処することを強く推奨しています。

Db2 Web Query for i

この問題を修復するには、IBM Db2 Web Query for i (5733WQX) に PTF を適用し、IBM HTTP Server for i (5770DG1) にグループ PTF の最新レベルを適用しなければなりません。今後のIBM HTTP Server for iのグループPTFにも、この脆弱性の修正プログラムが含まれる予定です。

本脆弱性の修正プログラムを含むPTF番号は、以下の表のとおりです。

IBM Db2 Web Query for i のリリース	5733WQXの PTF	IBM iのリリース	5770DG1 グループ PTF-レベル
2.3.0	SI82122 SI82140 SI82141	7.5	SF99952 – 06
		7.4	SF99662 – 26
		7.3	SF99722 – 43
2.4.0	SI82416 SI82119 SI82118	7.5	SF99952 – 06
		7.4	SF99662 – 26

IBM Navigator for iとIBM Digital Certificate Manager for i

この問題は、IBM i に PTF を適用することで修正できます。IBM i のリリース 7.5、7.4、および 7.3 は、修正されます。

IBM Navigator for iとIBM Digital Certificate Manager for iの修正を含むIBM i PTFは、IBM HTTP Server for i Group PTFに含まれます。今後のIBM HTTP Server for iのグループPTFにも、この脆弱性の修正が含まれる予定です。

IBM i Release	5770-DG1 IBM HTTP Server for i Group PTF – Level	PTF Download Link
7.5	SF99952 – 06	SF99952 750 IBM HTTP Server for i
7.4	SF99662 – 27	SF99662 740 IBM HTTP Server for i
7.3	SF99722 – 44	SSF99722 730 IBM HTTP Server for i

重要なお知らせ

詳細/原文

Security Bulletin: IBM Db2 Web Query for i is vulnerable to attacker obtaining sensitive information due to Java string processing in IBM Toolbox for Java (CVE-2022-43928)
原文・詳細はこちらから

2023年2月13日

サマリー

Db2 Web Query には、Apache Commons Text が原因で任意のコードを実行される脆弱性があります[CVE-2022-42889]。Apache Commons Text は、IBM Db2 Web Query for i の文字列機能で使用されています。この修正には、Apache Commons Text 1.10.0 が含まれます。

脆弱性の詳細

CVEID: CVE-2022-42889　　Apache Commons Text には、安全でない補間デフォルトの欠陥により、リモートの攻撃者にシステム上で任意のコードを実行される可能性があります。特別に細工された入力を送信することで、攻撃者はこの脆弱性を悪用してシステム上で任意のコードを実行することができます。（CVSS Base score: 9.8）

対処法

IBMは、今すぐこの脆弱性に対処することを強く推奨します。

IBM i 7.3以降でサポートされるDb2 Web Queryリリース 2.3.0 および 2.4.0 に対し、IBM i に Program Temporary Fixes (PTF) を適用することで修正することができます。

この脆弱性の修正を含む PTF 番号は、以下の表のとおりです。

影響を受ける製品	バージョン	5733WQX向けPTF
Db2 Web Query for i	2.3.0	SI82437 SI82438 SI82440 SI82324
Db2 Web Query for i	2.4.0	SI82206 SI82208 SI82209 SI82146

重要なお知らせ
IBM では、サポートされていないバージョンの対象製品を使用しているすべてのユーザーに対して、対象製品のサポートおよび修正済みのバージョンへのアップグレードを推奨しています。

詳細/原文

Security Bulletin: IBM Db2 Web Query for i is vulnerable to arbitrary code execution due to Apache Commons Text [CVE-2022-42889]
詳細・原文はこちら

2023年2月7日

サマリー

IBM i で使用されている IBM® SDK Java™ Technology Edition および IBM® Runtime Environment Java™ には、脆弱性の詳細セクションにあるように、セキュリティ制限の回避、サービス拒否攻撃、認証されていない攻撃者がデータを変更できる脆弱性があります (CVE-2022-3676, CVE-2022-21619, CVE-2022-21624, CVE-2022-21626, CVE-2022-21628)。これらの脆弱性は、グループPTFを適用することで修正されます。

脆弱性の詳細

CVEID: CVE-2022-3676　　Eclipse Openj9 には、インターフェースコールによる不適切な実行時型チェックにより、遠隔地の攻撃者にセキュリティ制限を回避される可能性があります。この脆弱性を利用し、バイトコードで特別に細工されたリクエストを送信することで、メモリへのアクセスや変更を行うことが可能です。（CVSS Base score: 6.5）
CVEID: CVE-2022-21628　　Java SE には，Lightweight HTTP Server の不具合によるサービス拒否の脆弱性があります。特別な細工をしたリクエストを送信することで、リモートの攻撃者はこの脆弱性を悪用して、サービス拒否状態を引き起こすことができます。（CVSS Base score: 5.3）
CVEID: CVE-2022-21626　　Java SE の Security コンポーネントに関連する未指定の脆弱性により、未認証の攻撃者が未知の攻撃ベクトルを使用して、サービス拒否を引き起こし、低可用性に影響を与える可能性があります。（CVSS Base score: 5.3）
CVEID: CVE-2022-21619、CVEID: CVE-2022-21624Java SE の Security コンポーネントに関連する未指定の脆弱性により、未認証の攻撃者が未知の攻撃ベクトルを使用して、データの更新、挿入、削除を行い、整合性に低い影響を与える可能性があります。（CVSS Base score: 3.7）

対処法

この脆弱性は、最新の Java Group PTF を適用することで修正することができます。

IBM iのリリース7.5、7.4、7.3、および7.2が修正される予定です。脆弱性の修正を含む IBM i グループの PTF 番号は以下のとおりです。今後の Java のグループ PTF にも、これらの脆弱性の修正が含まれる予定です。

IBM i Release	5770-JV1 Group PTF Number and Level	PTF Download Link
7.5	SF99955 Level 4	https://www.ibm.com/support/pages/sf99955-750-java-level-4
7.4	SF99665 Level 17	https://www.ibm.com/support/pages/sf99665-740-java-level-17
7.3	SF99725 Level 28	https://www.ibm.com/support/pages/sf99725-730-java-level-28
7.2	SF99716 Level 38	https://www.ibm.com/support/pages/sf99716-720-java-level-38

IBM i 用の最新の Java 情報は、この URL の Java ドキュメントを参照してください。
https://www.ibm.com/support/pages/java-ibm-i

本製品で提供される IBM Java ランタイムを使用して独自の Java コードを実行する場合は、コードを評価し、追加の Java 脆弱性がコードに適用されるかどうかを判断する必要があります。脆弱性の完全なリストについては、下記の「IBM Java SDK Security Vulnerabilities」を参照して、より詳細な情報を入手してください。
IBM Java SDK Security Vulnerabilities
https://www.ibm.com/support/pages/java-sdk-security-vulnerabilities

重要: IBM は、影響を受ける製品のサポートされていないバージョンを実行しているすべてのユーザーが、影響を受ける製品のサポートされ修正されたバージョンにアップグレードすることを推奨しています。

詳細/原文

Security Bulletin: IBM Java SDK and IBM Java Runtime for IBM i are vulnerable to bypassing security restrictions, denial of service attacks, and data integrity impacts due to multiple vulnerabilities.
詳細・原文はこちら

2022年12月22日

サマリー

IBM Navigator for i は、IBM i 用のサーバー管理機能を提供します。IBM Navigator for i を利用する権限を持つ認証ユーザーは、本来経由すべきインターフェースチェックを回避してログファイルのダウンロード、ファイル属性の表示、および SQL インジェクション攻撃を実行することができるようになる脆弱性が確認されました。IBM Navigator for i では、PTF適用によってこの問題が修正されています。

対処法

この問題は、IBM i のリリース 7.5、7.4、および7.3 に PTF を適用することによって修正されます。

IBM リリース	5770DG1 IBM HTTP Server for i グループPTF – Level	PTF ダウンロードリンク
7.5	SF99952 – 05	SF99952 750 IBM HTTP Server for i – level 5
7.4	SF99662 – 25	SF99662 740 IBM HTTP Server for i – level 25
7.3	SF99722 – 42	SF99722 730 IBM HTTP Server for i – level 42

詳細/原文

Security Bulletin: IBM Navigator for i is vulnerable to log file access, obtaining file attributes, and SQL Injection attacks due to multiple vulnerabilities.
詳細・原文リンク

2022年11月18日

サマリー

IBM i Access Client Solutions は、ネイティブ・コードを活用する Windows オペレーティング・システム上で特定の機能が実行されると、DLL ハイジャックの脆弱性があります。IBM i Access Family には、DLL読み込みに関する脆弱性があり、ローカルで認証された攻撃者にシステム上で任意のコードを実行される可能性があります。特別に細工したファイルを危険なフォルダに置くことで、攻撃者はこの脆弱性を悪用して、システム上で任意のコードを実行することができます。
IBM は、IBM i Access Client Solutions に修正を提供することでこの脆弱性に対処しています。

対処法

この問題は、バージョン1.1.9.1以降にアップグレードすることで修正できます。利用可能な最新バージョンについては、IBM i Accessクライアントソリューションのアップデートを参照してください。

影響を受ける製品	バージョン	改善/FIX/導入方法
IBM i Access Client Solutions	1.1.2 – 1.1.4, 1.1.4.3 – 1.1.9.0	IBM i Access Client Solutionsの最新版は、Downloads.から入手できます。或いは、以下のIBM i ソフトウェアの総合サイトからダウンロードすることもできます。 Entitled Systems Support (ESS).

詳細/原文

Security Bulletin: IBM i Access Client Solutions is vulnerable to DLL hijacking when run on a Windows operating system (CVE-2022-40746)
https://www.ibm.com/support/pages/node/6840359?myns=swgother&mynp=OCSSRQKY&mync=E&cm_sp=swgother-_-OCSSRQKY-_-E

2022年10月26日

サマリー

IBM i は、GeoMirror、Save/Restore、および Main Storage Dump の圧縮に Zlib を使用します。Zlib には、deflate 操作におけるメモリー破損によって引き起こされるサービス拒否攻撃の脆弱性があります。遠隔地の攻撃者は、多くの遠隔マッチを使用することで、この脆弱性を悪用してアプリケーションをクラッシュさせることができます。
IBM i は、修正を提供することによってこのZlib の脆弱性に対処しています。

対処法

この問題は、IBM i のリリース 7.5、および7.4 に PTF を適用することによって修正されます。

IBM i リリース	5770-999 PTF 番号	PTF ダウンロードLink
7.5	MF70403	MF70403
7.4	MF70398	MF70398

詳細/原文

Security Bulletin: IBM i is vulnerable to a denial of service caused by a memory corruption in the deflate operation of Zlib (CVE-2018-25032)
https://www.ibm.com/support/pages/node/6831873?myns=swgother&mynp=OCSS9QQS&mync=E&cm_sp=swgother-_-OCSS9QQS-_-E

2022年9月14日

サマリー

IBM i 用の Samba では、SMB1 リクエストを処理するメモリリークにより、リモートの認証済み攻撃者が機密情報を取得することが可能です。ファイル共有にデータを書き込むために特別に細工されたリクエストを送信することで、攻撃者はこの脆弱性を悪用してメモリ情報を取得し、この情報を使って影響を受けるシステムに対してさらなる攻撃を仕掛けることが可能です。
IBM i は、修正を提供することによってこのSambaの脆弱性に対処しています。

対処法

この問題は、IBM i のリリース 7.4、および7.3 に PTF を適用することによって修正されます。

IBM i　リリース	5770-SS1 PTF 番号	PTF ダウンロードLink
7.4	SI80816	SI80816
7.3	SI80815	SI80815

詳細/原文

Security Bulletin: Samba for IBM i is vulnerable to attacker obtaining sensitive information due to a memory leak with SMB1 requests (CVE-2022-32742)
https://www.ibm.com/support/pages/node/6613223?myns=ibmi&mynp=OCSWG60&mync=E&cm_sp=ibmi-_-OCSWG60-_-E

2022年9月12日

サマリー

IBM WebSphere Application Server Liberty for IBM i は、認証済みユーザーによる ID スプーフィング (CVE-2022-22476) および Eclipse Paho Java クライアントによるセキュリティ制限のバイパス機能 (CVE-2019-11777) に対して脆弱性があります。IBM iは、IBM WebSphere Application Server Liberty for IBM iに修正を提供することでこれらの障害報告（CVE）に対処しています。

対処法

この問題は、IBM i のリリース 7.5、7.4、7.3、および 7.2 に PTF を適用することによって修正されます。

IBM i リリース	5770-SS1 PTF 番号	PTF ダウンロード Link
7.5	SI80972	SI80972
7.4	SI80973	SI80973
7.3	SI80974	SI80974
7.2	SI80975	SI80975

詳細/原文

Security Bulletin: IBM WebSphere Application Server Liberty for IBM i is vulnerable to identity spoofing with authenticated user and ability to bypass security restrictions due to Eclipse Paho Java client (CVE-2019-11777, CVE-2022-22476)
https://www.ibm.com/support/pages/node/6619843?myns=ibmi&mynp=OCSWG60&mync=E&cm_sp=ibmi-_-OCSWG60-_-E

2022年7月28日

サマリー

IBM HTTP Server (powered by Apache) for IBM i には、ヘッダ送信の失敗によるセキュリティ制限の回避 (CVE-2022-31813)、 ap_rwrite() 関数への大きな入力による意図しないメモリの読み込み (CVE-2022-28614) および ap_strcmp_match() への大きな入力によるバッファの読み込み制限超過 (CVE-2022-28615) による脆弱性が存在します。IBM i は、Apache HTTP Server の実装に修正を提供することによって、これらの障害報告（CVE）に対処しています。

対処法

この問題は、IBM i のリリース 7.5、7.4、7.3、および 7.2 に PTF を適用することによって修正されます。

IBM i リリース	5770-DG1 PTF 番号	PTF ダウンロード Link
7.5	SI80337	SI80337
7.4	SI80353	SI80353
7.3	SI80354	SI80354
7.2	SI80355	SI80355

詳細/原文

Security Bulletin: IBM HTTP Server (powered by Apache) for IBM i is vulnerable to bypass security restrictions and obtain sensitive information due to multiple vulnerabilities.
https://www.ibm.com/support/pages/node/6607876?myns=ibmi&mynp=OCSWG60&mync=E&cm_sp=ibmi-_-OCSWG60-_-E

2022年7月27日

サマリー

OpenSSL では、c_rehash スクリプトによるユーザ提供の入力の不適切な検証により、リモートの攻撃者がシステム上で任意のコマンドを実行することが可能です。シェルメタ文字を用いて特別に細工したリクエストを送信することで、攻撃者はこの脆弱性を悪用し、システム上でスクリプトの権限で任意のコマンドを実行することができます。IBM i は、改善/修正セクションに記載されているように、OpenSSL の脆弱性に修正プログラムを提供することで対処しています。

対処法

この問題は、IBM i のリリース 7.5、7.4、7.3、および 7.2 に PTF を適用することによって修正されます。

IBM i Release	5733-SC1 PTF Number	PTF Download Link
7.5	SI80588	SI80588
7.4, 7.3, 7.2	SI80587	SI80587

https://www.ibm.com/support/fixcentral

詳細/原文

Security Bulletin: OpenSSL for IBM i is vulnerable to arbitrary command execution (CVE-2022-2068)
https://www.ibm.com/support/pages/node/6607559?myns=ibmi&mynp=OCSWG60&mync=E&cm_sp=ibmi-_-OCSWG60-_-E

2022年7月13日

サマリー

IBM i 上の ISC BIND には、特別に作成された TCP パケットの送信によるサービス拒否攻撃、および DNS フォワーダーを使用した DNS キャッシュポイズニング攻撃の脆弱性が存在します。IBM i は、ISC BIND の脆弱性に修正プログラムを提供することで対処しています。

対処法

この問題は、IBM i のリリース 7.5、7.4、7.3、および 7.2 に PTF を適用することによって修正されます。

IBM i Release	5770-SS1 PTF Number	PTF Download Link
7.5	SI80440	SI80440
	SI80443	SI80443
	SI80458	SI80458
7.4	SI80430	SI80430
	SI80431	SI80431
	SI80455	SI80455
7.3	SI80437	SI80437
	SI80438	SI80438
	SI80456	SI80456
7.2	SI80439	SI80439
7.2	SI80457	SI80457

詳細/原文

Security Bulletin: IBM i is vulnerable to denial of service and cache poisoning attacks due to flaws in ISC BIND (CVE-2022-0396, CVE-2021-25220)
https://www.ibm.com/support/pages/node/6595155?myns=swgother&mynp=OCSWG60&mync=E&cm_sp=swgother-_-OCSWG60-_-E

2022年7月12日

サマリー

Digital Certificate Manager for IBM iには、クロスサイトスクリプティングの脆弱性があります。この脆弱性により、ユーザーが任意の JavaScript コードを Web UI に埋め込むことが可能となり、意図した機能が変更され、信頼できるセッション内で認証情報の漏洩につながる可能性があります。IBM i は、Digital Certificate Manage Web アプリケーションへの修正によって該当する障害に対処しています。

対処法

この問題は、IBM i のリリース 7.5、7.4、7.3、および 7.2 に PTF を適用することによって修正されます。

IBM i Release	5770-SS1 PTF Number	PTF Download Link
7.5	SI80415	SI80415
7.4	SI80414	SI80414
7.3	SI80413	SI80413
7.2	SI80412	SI80412

詳細/原文

Security Bulletin: Digital Certificate Manager for IBM i is vulnerable to cross-site scripting (CVE-2022-34358)
https://www.ibm.com/support/pages/node/6603131?myns=swgother&mynp=OCSWG60&mync=E&cm_sp=swgother-_-OCSWG60-_-E

2022年6月28日

サマリー

IBM i 用の Zlib には、メモリ破壊によるサービス拒否攻撃の脆弱性があります。IBM i は、Zlib の脆弱性に修正プログラムを提供することで対処しています。

対処法

この問題は、IBM i のリリース 7.5、7.4、7.3、および 7.2 に PTF を適用することによって修正されます。

IBM i リリース	5733-SC1 PTF番号	PTF ダウンロード Link
7.5	SI80205	SI80205
7.4, 7.3, 7.2	SI80203	SI80203

https://www.ibm.com/support/fixcentral

詳細/原文

Security Bulletin: Zlib for IBM i is vulnerable to a denial of service attack due to memory corruption (CVE-2018-25032)
https://www.ibm.com/support/pages/node/6599327?myns=swgother&mynp=OCSWG60&mync=E&cm_sp=swgother-_-OCSWG60-_-E

2022年6月28日

サマリー

OpenSSL には、c_rehash スクリプトにおける不適切なユーザー検証により、コマンドインジェクションの脆弱性があります。IBM i は、OpenSSL の脆弱性に修正プログラムを提供することで対処しています。

対処法

この問題は、IBM i のリリース 7.5、7.4、7.3、および 7.2 に PTF を適用することによって修正されます。

IBM i リリース	5733-SC1 PTF 番号	PTF ダウンロードLink
7.5	SI80205	SI80205
7.4, 7.3, 7.2	SI80203	SI80203

https://www.ibm.com/support/fixcentral

詳細/原文

2022年6月10日

サマリー

Spring Framework には、下記URL原文内脆弱性の詳細に記載されているように、複数の脆弱性 (CVE-2022-22968, CVE-2022-22965, CVE-2022-22950) が存在します。Spring Framework v5.3.8は、Db2 Web Query for iのインフラサポートに使用されています。IBMは、Spring Framework v5.3.19にアップグレードすることで、Db2 Web Query for iの脆弱性に対処しています。

影響を受ける製品バージョン

影響を受ける製品	バージョン
IBM Db2 Web Query for i	2.3.0
IBM Db2 Web Query for i	2.2.1

対処法

IBMは、今すぐこの脆弱性に対処することを強く推奨します。
Db2 Web Query for i リリース 2.2.1 および 2.3.0 が影響を受けます。リリース 2.2.1 は、リリース 2.3.0 にアップグレードすることで修正することができます。

アップグレードインストールの手順を含むEZ-Installパッケージをご希望の方は、QU2@us.ibm.com” まで電子メールをお送りください。アップグレードの詳細については、こちらをご参照ください。
https://ibm.biz/db2wq-install

リリース 2.3.0 は、最新の Db2 Web Query for i グループ Program Temporary Fix (PTF) を適用することにより、修正することができます。
PTFは、製品ID 5733WQXに適用されます。グループPTF番号と修正プログラムを適用した最小レベルは次のとおりです。

影響を受けるリリース	グループPTF とミニマム・レベル
Db2 Web Query for i 2.3.0 w/ IBM i 7.5	SF99671 level 6
Db2 Web Query for i 2.3.0 w/ IBM i 7.4	SF99654 level 6
Db2 Web Query for i 2.3.0 w/ IBM i 7.3	SF99533 level 6

詳細/原文

Security Bulletin: Due to use of Spring Framework, IBM Db2 Web Query for i is vulnerable to unprotected fields (CVE-2022-22968), remote code execution (CVE-2022-22965), and denial of service (CVE-2022-22950).
https://www.ibm.com/support/pages/node/6593861?myns=ibmi&mynp=OCSWG60&mync=E&cm_sp=ibmi-_-OCSWG60-_-E

2022年6月2日

サマリー

IBM i で使用されている IBM® SDK Java™ Technology Edition および IBM® Runtime Environment Java™ には、下記URLの原文(脆弱性の詳細セクション)に記載されているように、不正な攻撃者が機密情報を取得するなどの脆弱性が存在します。この脆弱性は、「対処/修正」の項に記載されているように、グループPTFを適用することで修正されます。

対処法

これらの脆弱性は、最新の Java Group PTF を IBM i オペレーティングシステムに適用することで修正することができます。

IBM i 用の最新の Java 情報については、この URL の Java ドキュメントを参照してください。
https://www.ibm.com/support/pages/java-ibm-i

IBM i のリリース 7.5、7.4、7.3、および 7.2 が修正される予定です。
この脆弱性の修正を含む IBM i グループの PTF 番号は以下のとおりです。今後のJava用グループPTFにも、これらの脆弱性の修正が含まれる予定です。

IBM i Release	5770-JV1 Group PTF Number and Level	PTF Download Link
7.5	SF99955 Level 1	https://www.ibm.com/support/pages/sf99955-750-java-level-1
7.4	SF99665 Level 14	https://www.ibm.com/support/pages/sf99665-740-java-level-14
7.3	SF99725 Level 25	https://www.ibm.com/support/pages/sf99725-730-java-level-25
7.2	SF99716 Level 35	https://www.ibm.com/support/pages/sf99716-720-java-level-35

詳細/原文

Security Bulletin: IBM Java SDK and IBM Java Runtime for IBM i are vulnerable to unauthenticated attacker obtaining sensitive information and other attacks due to multiple vulnerabilities.
https://www.ibm.com/support/pages/node/6591519?myns=ibmi&mynp=OCSWG60&mync=E&cm_sp=ibmi-_-OCSWG60-_-E

2022年5月24日

サマリー

IBM Navigator for i は、堅牢なグラフィカルユーザーインターフェースを介して、サーバー管理機能を提供します。IBM Navigator for i に、SQL インジェクションの脆弱性が認められました。リモートの攻撃者が特別に細工した SQL 文を送信すると、攻撃者はバックエンドのデータベース内の情報を表示、追加、変更、削除できる可能性があります。この脆弱性は、最新のHTTP Server for i グループPTFを適用することで修正されます。

対処法

IBM i 7.4, 7.3, 7.2 について、PTF 適用することで修正されます。
この修正を含む IBM i PTF は、HTTP Server for i グループ PTF に含まれています。 HTTP Server for i の将来のグループ PTF にも、この問題の修正が含まれる予定です。

IBM i リリース	HTTP Server for i グループ PTF – Level	PTF ダウンロード LINK
7.5	SF99952 – 01	SF99952 750 IBM HTTP Server for i – level 1
7.4	SF99662 – 20	SF99662 740 IBM HTTP Server for i – level 20
7.3	SF99722 – 39	SF99722 730 IBM HTTP Server for i – level 39

詳細/原文

Security Bulletin: IBM Navigator for i is vulnerable to an SQL injection (CVE-2022-22495)
https://www.ibm.com/support/pages/node/6589203?myns=ibmi&mynp=OCSWG60&mync=E&cm_sp=ibmi-_-OCSWG60-_-E

2022年5月9日

サマリー

IBM Navigator for i (Heritageバージョン) は、リモートの攻撃者が有効な認証情報なしでウェブインターフェースへのアクセスを取得できるようにする可能性があります。サインオン要求を変更することで、攻撃者はターゲットシステムの完全修飾ドメイン名と Navigator タスクページへの可視性を得ることができますが、システム上でこれらのタスクを実行する能力や特定のシステムデータを見る能力を得ることはできません。

対処法

IBM i 7.4, 7.3, 7.2 について、PTF 適用することで修正されます。

IBM i リリース	5770-SS1 PTF番号	PTF ダウンロードLINK
7.4	SI79557	https://www.ibm.com/support/pages/ptf/SI79557
7.4	SI79558	https://www.ibm.com/support/pages/ptf/SI79558
7.3	SI79559	https://www.ibm.com/support/pages/ptf/SI79559
7.3	SI79560	https://www.ibm.com/support/pages/ptf/SI79560
7.2	SI79561	https://www.ibm.com/support/pages/ptf/SI79561
7.2	SI79562	https://www.ibm.com/support/pages/ptf/SI79562

詳細/原文

Security Bulletin: IBM i components are vulnerable to data access due to CVE-2022-22481
https://www.ibm.com/support/pages/node/6583553?myns=ibmi&mynp=OCSWG60&mync=E&cm_sp=ibmi-_-OCSWG60-_-E

なお、SODで将来 IBM i 7.4, 7.3からのNavigator for i のHeritageバージョンの削除が予告されています。

Statement of direction – IBM intends in the future to remove IBM Navigator for i heritage version by deleting all associated files from the system for IBM i 7.3 & 7.4 releases.

2022年3月31日

サマリー

IBM WebSphere Application Server の複数の脆弱性により、任意のコードの実行、LDAP インジェクション、不正アクセス、クリックハイジャックなどの可能性があります。IBM WebSphere Application Server Liberty for IBM i は、Liberty ランタイムをバージョン 22.0.0.3 にアップグレードする修正により、これらの脆弱性に対処しています。

対処法

IBM i 7.4, 7.3, 7.2 について、PTF 適用することで修正されます。
IBM i 7.4. SI78971
IBM i 7.3. SI78972
IBM i 7.2. SI78973

詳細/原文

Security Bulletin: IBM WebSphere Application Server Liberty for IBM i is affected by arbitrary code execution and other attacks due to multiple vulnerabilities. https://www.ibm.com/support/pages/node/6568369?myns=ibmi&mynp=OCSWG60&mync=E&cm_sp=ibmi-_-OCSWG60-_-E

<2023/5/24 更新>IBM i 関連の脆弱性情報

2023年5月23日

2023年5月9日

2023年5月2日

2023年5月1日

2023年4月19日

2023年4月13日

2023年3月30日

2023年2月13日

2023年2月7日

2022年12月22日

2022年11月18日

2022年10月26日

2022年9月14日

2022年9月12日

2022年7月28日

2022年7月27日

2022年7月13日

2022年7月12日

2022年6月28日

2022年6月28日

2022年6月10日

2022年6月2日

2022年5月24日

2022年5月9日

2022年3月31日