IBM Storage の深刻な脆弱性 CVE-2025-0159／0160 が FIX：認証バイパスと RCE の恐れ

CVE-2025-0159 (CVSS 9.1): Critical IBM Storage Flaw Allows Authentication Bypass

2025/03/03 SecurityOnline — IBM が発表したのは、複数の IBM Storage Virtualize 製品の GUI に影響を及ぼす、２つの脆弱性に関するセキュリティ情報である。この脆弱性 CVE-2025-0159／CVE-2025-0160 の悪用に成功した攻撃者は、認証をバイパスし、影響を受けるシステム上での任意のコード実行の可能性を得る。

CVE-2025-0159 (CVSS：9.1：Critical)：この脆弱性を悪用するリモート攻撃者は、特別に細工された HTTP リクエストを送信することで、RPCAdapter エンドポイント認証をバイパスする。

CVE-2025-0160 (CVSS：8.1：High)：この脆弱性を悪用する、システムへのアクセス権を持つリモート攻撃者は、RPCAdapter サービスに不適切な制限を悪用して、任意の Java コード実行の可能性を得る。

これらの脆弱性の影響を受けるのは、以下の IBM Storage Virtualize バージョンである：

  • 8.5.0.0〜8.5.0.13
  • 8.5.1.0／8.5.2.0〜8.5.2.3／8.5.3.0〜8.5.3.1／8.5.4.0
  • 8.6.0.0〜8.6.0.5
  • 8.6.1.0／8.6.2.0〜8.6.2.1／8.6.3.0
  • 8.7.0.0〜8.7.0.2
  • 8.7.1.0／8.7.2.0〜8.7.2.1

IBM は、以下の製品群のアップグレードを、ユーザーに推奨している：

  • IBM SAN Volume Controller
  • IBM Storwize V7000
  • IBM Storwize V5000／V5100／V5000E
  • IBM FlashSystem 5000／5100／5200／5300
  • IBM FlashSystem 7200／7300
  • IBM FlashSystem 9100／9200／9500
  • IBM Storage Virtualize for Public Cloud
  • 8.5.0.0〜8.5.0.13：8.5.0.14 にアップグレード
  • 8.5.1.0／8.5.2.0〜8.5.2.3／8.5.3.0〜8.5.3.1／8.5.4.0：8.6.0.6 にアップグレード
  • 8.6.0.0〜8.6.0.5：8.6.0.6 にアップグレード
  • 8.6.1.0／8.6.2.0〜8.6.2.1／8.6.3.0：8.7.0.3 にアップグレード
  • 8.7.0.0〜8.7.0.2：8.7.0.3 にアップグレード
  • 8.7.1.0／8.7.2.0〜8.7.2.1：8.7.2.2 にアップグレード

ユーザーに対して強く推奨されるのは、必要な更新を速やかに適用し、悪用のリスクを軽減することだ。

IBM Storage に、認証バイパスと RCE 脆弱性です。CVSS 値はそれぞれ 9.1／8.1 と、どちらも深刻な脆弱性です。ご利用のチームは、ご注意下さい。よろしければ、以下の関連記事も、 IBM で検索と併せて、ご参照下さい。

2024/05/23：クラウドと SMS でフィッシング：AWS・Google・IBMなど
2023/09/16：BlackCat：Sphynx 暗号化ツールで Azure Storage を攻撃