IBM RMM の脆弱性 CVE-2024-41779 (CVSS 9.8) が FIX：RCE 攻撃につながる恐れ

CVE-2024-41779 (CVSS 9.8): IBM Rhapsody Model Manager Vulnerability Puts Systems at Risk

2024/11/26 SecurityOnline — IBM が発表したのは、Engineering Systems Design – Rhapsody Model Manager (RMM) に存在する、深刻な脆弱性に対するセキュリティ勧告である。この脆弱性 CVE-2024-41779 (CVSS：9.8) の悪用に成功したリモートの攻撃者は、セキュリティを回避し、脆弱なシステム上で任意のコードを実行する可能性を手にする。

この脆弱性は、ソフトウェアの競合状態に起因するものであり、悪用に成功した攻撃者は、特別に細工したリクエストを送信することで、このシステムを悪用する可能性を得る。IBM は、「攻撃者は、特別に細工したリクエストを送信することで、この脆弱性を悪用し、リモート・コード実行を行う可能性を得る」と説明している。

通常の運用条件下においては、IDMappingsService.verbose の DEBUG ログがデフォルトで無効化されているため、この脆弱性が RMM のインストールに影響を及ぼすことはない。IBM は、「RMM の IDMappingsService では、デフォルトでデバッグ・レベルのロギングは無効化されているため、通常の RMM 運用において、このような状況が発生するリスクはない」と述べている。

影響を受ける製品とバージョン
  • RMM 7.0.2
  • RMM 7.0.3

修正バージョン

IBM がユーザーに推奨するのは、必要なセキュリティ修正を取り込んでいる、以下の最新バージョンへと RMM ソフトウェアを更新することだ。

  • RMM 7.0.2：iFix031 以降をインストールする。
  • RMM 7.0.3：iFix008 以降をインストールする。
回避策

さらに IBM は、一時的な回避策として、 IDMappingsService.verbose のデバッグ・ロギングの無効化を推奨している。

追加情報

IDMappingsService のデバッグ・ロギングの有効化自体が、この脆弱性の影響を受けない点に注意してほしい。ユーザーは、以下の設定にように、安全を確保できる。

<Logger name=”com.ibm.team.rmm.models.service.internal.IDMappingsService” level=”DEBUG”>

IBM の Rhapsody Model Manager (RMM) に存在する、RCE の脆弱性が FIX しました。最新バージョンへのアップデートおよび、回避策が提供されていますので、ご利用のチームは、ご確認ください。よろしければ、IBM で検索も、ご参照ください。