IBMの暗号鍵管理製品に複数の脆弱性 - アップデートを

暗号鍵の管理機能を提供する「IBM Security Guardium Key Lifecycle Manager（GKLM）」に複数の脆弱性が明らかとなった。

SQLインジェクションの脆弱性「CVE-2023-25684」や、平文でユーザーのクレデンシャル情報を保存する「CVE-2023-25686」、認証済みのユーザーが認可されていない操作を行うことができる「CVE-2023-25924」など、あわせて7件の脆弱性が明らかとなったもの。

IBMでは、共通脆弱性評価システム「CVSSv3.1」のベーススコアについて、今回明らかとなった脆弱性のなかで「CVE-2023-25684」をもっとも高い「6.5」とし、続く「CVE-2023-25686」を「6.2」とした。

一方、米国立標準技術研究所（NIST）による脆弱性データベース「NVD」では、「CVE-2023-25684」のCVSS基本値を「9.8」、重要度を「クリティカル（Critical）」とした。「CVE-2023-25686」は「5.5」とIBMの評価を下回っている。

また「CVE-2023-25924」については、IBMがCVSS基本値を「5.4」としたところ、NVDでは「8.8」、「CVE-2023-25923」はIBMが「2.7」としたのに対し、NVDでは「7.5」とし、いずれも重要度を「高（High）」とした。

同社は脆弱性を修正した「同4.2」を提供しており、アップデートを呼びかけている。

（Security NEXT - 2023/03/31 ）ツイート