IBM Power Systems の脆弱性 CVE-2024-45656 (CVSS：9.8) が FIX：直ちにパッチ適用を！

CVE-2024-45656: A 9.8 Severity Threat to IBM Power Systems Security

2024/10/29 SecurityOnline — IBM Power Systems に発見された脆弱性により不正アクセスが引き起こされ、影響を受けるシステムが完全に制御される可能性が生じている。この脆弱性 CVE-2024-45656 (CVSS：9.8) は、サーバのハードウェア／ファームウェアの管理／監視を担う、重要なコンポーネント IBM Flexible Service Processor (FSP) における静的認証情報の使用に起因する。 そのため、深刻な影響が発生する可能性が高いと懸念されている。

この脆弱性の悪用に成功した、ネットワーク・アクセス権を持つ攻撃者は、静的認証情報を悪用することで、FSP のサービス特権を取得する。それにより、サーバの完全な乗っ取りを達成する攻撃者は、機密データの窃取／業務妨害／マルウェアのインストールなどを引き起こす可能性を得るという。

この脆弱性は、特定のファームウェア・バージョンを実行している Power8／Power9／Power10 システムなどの、広範な IBM Power Systems に影響を与える。特に、対象リストに挙げられた製品の、過去のファームウェア・リリースはすべて脆弱であり、公式サポートが終了しているものも含まれている。

影響を受ける製品バージョン
Server FirmwareFW1060.00 – FW1060.10
Server FirmwareFW1050.00 – FW1050.21
Server FirmwareFW1030.00 – FW1030.61
Server FirmwareFW950.00 – FW950.C0
Server FirmwareFW860.00 – FW860.B3

ユーザーに対して強く推奨されるのは、FSP ファームウェアを直ちに更新し、IBM Power Systems のセキュリティを確保することである。すでに IBM は、この更新を促すための重要なセキュリティ勧告を発表しており、パッチは IBM Fix Central からダウンロード可能となっている。IBM Power Systems に依存している組織は、システムのセキュリティ侵害リスクを軽減するために、このパッチ適用を最優先にすることが求められる。

IBM Power Systems に発見された脆弱性 CVE-2024-45656 ですが、CVSS 値が 9.8 と高いものであり、早急なパッチ適用が推奨されています。ご利用のチームは、ご注意ください。なお、直近の IBM 可憐の記事は、2024/09/06 の「IBM webMethods の脆弱性 CVE-2024-45076 などが FIX：データ漏洩などの恐れ」となっています。よろしければ、IBM で検索と併せて、ご参照ください。