IBM i の脆弱性 CVE-2025-36004 (CVSS：8.8) が FIX：権限昇格の可能性

IBM i Vulnerability Allows Attackers to Escalate Privileges

2025/06/26 gbhackers — IBM i に発見された深刻なセキュリティ脆弱性を悪用する攻撃者は、権限昇格を達成し、管理者権限での任意のコード実行の可能性を手にする。この脆弱性 CVE-2025-36004 は、IBM i オペレーティングシステム上の IBM Facsimile Support for i に影響し、このプラットフォームに依存する組織に深刻なリスクをもたらしている。

脆弱性の概要

この脆弱性は、IBM Facsimile Support for i の未検証のライブラリ呼び出しに起因し、制御できないサーチ・パス (CWE-427) に分類されている。プログラムのコンパイル／レストアの権限を持つユーザーであれば、管理者権限で実行されるユーザー制御コードの注入が可能になる。その結果として、攻撃者に対して許されるものには、機密性の高いリソースへの不正アクセスや、システムの完全性／可用性への侵害を通じた、IBM i 環境全体の制御などがある。

CVE IDDescriptionCVSS Base ScoreAffected Versions
CVE-2025-36004Unqualified library call in IBM Facsimile Support for i allows privilege escalation to admin user.8.8IBM i 7.5, 7.4, 7.3, 7.2

影響を受ける製品・バージョン

この脆弱性は、以下の IBM i バージョンに影響を与える：

  • IBM i 7.5
  • IBM i 7.4
  • IBM i 7.3
  • IBM i 7.2

この脆弱性が悪用されると、低権限のネットワーク。アクセスを持つ攻撃者が、管理者権限でコードを実行し、システム全体を侵害する可能性を手にする。また、この攻撃はユーザー操作を必要とせず、リモートでの実行が可能であるため、システムへの脅威リスクが大幅に高まる。

すでに IBM は、影響を受ける製品むけに、特に 5798-FAX コンポーネント向けに、PTF (Program Temporary Fix) をリリースしている。また、サポート対象外のバージョンを使用している、すべてのユーザーに対して IBM が推奨するのは、修正済みのサポート対象バージョンへのアップグレードにより、継続的な保護を確保することである。

セキュリティ専門家たちは、公式パッチの適用に加えて、以下の対策を講じることを推奨する：

  • 厳格なアクセス制御を実施し、特権操作を監視する。
  • IBM i システムへのネットワーク・アクセスを制限する。
  • システム・コンフィグを定期的に監査し、ライブラリ呼び出しパスを検証する。
  • システム・ログを監視して、不審な動作の有無を確認する。

この脆弱性は Silent Signal の Zoltan Panczel により、IBM に責任を持って報告されたものだ。それを受けて IBM は、2025年6月24日にセキュリティ情報を公開した。なお、現時点において PoC エクスプロイトは公開されていない。

IBM i を利用する組織に対して強く推奨されるのは、この深刻な脆弱性を速やかに軽減し、重要なインフラを保護するための措置を早急に講じることだ。

IBM i を利用しているシステムに、深刻な権限昇格の脆弱性とのことです。問題の核心は、Facsimile Support 機能における、未検証のライブラリ呼び出しにあると、この記事は指摘しています。レガシィー・サービスに残された欠陥が、気づかれずに放置されてきたのでしょう。ご利用のチームは、ご注意ください。よろしければ、IBM で検索も、ご参照ください。