MENU

IBM i ACSに脆弱性、DLLハイジャックの恐れ ~IBMが警告、対処法も公表

IBM i Access Client SolutionsをWindows上で実行している場合、DLLハイジャックされる脆弱性がある、とIBMは発表した(11月18日)。

対象となるIBM i Access Client Solutions(以下、ACS)のバージョンは、1.1.2~1.1.4、および1.1.4.3~1.1.9.0。

CVEスコアによる深刻度は7.2(重要)で、CVE番号は「CVE-2022-40746」が割り当てられている。

DLL(Dynamic Linking Library)ハイジャックとは、OSのプログラム実行順序を不正に操作し、不正なDLLを実行する攻撃手法。この攻撃により、「攻撃者は脆弱性を悪用して、システム上で任意のコードを実行することができる」と、IBM X-Forceは警告を発している。

対処法はACS バージョン1.1.9.1(5770-XJ1)以降へのアップグレードで、IBMでは「ACS 1.1.9.1に修正を提供することにより、この脆弱性に対処した」としている。

ACS 1.1.9.1は、2022年10月11日発表のIBM i 7.5 TR1で登場したバージョンで、10月11日の製品発表レターでは「12月2日より利用可能」となっている。12月1日までは“空白期間”で、ACSユーザーは注意が必要になりそうだ。

・Security Bulletin: IBM i Access Client Solutions
https://www.ibm.com/support/pages/node/6840359
・IBM X-Forceデータベース
https://exchange.xforce.ibmcloud.com/vulnerabilities/236581
・CVE-2022-40746
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-40746

[i Magazine・IS magazine]

新着