Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「IBM Db2」の「JDBCドライバ」に複数の脆弱性 - 暫定修正を提供

「IBM Db2」に複数の脆弱性が含まれていることがわかった。暫定的な修正プログラムが提供されている。

「JDBCドライバ」では、未チェックの「Logger」が挿入されるおそれがある「CVE-2023-27869」や、JNDIインジェクションの脆弱性「CVE-2023-27867」、クラスのインスタンス化におけるチェックの不備「CVE-2023-27868」など3件の脆弱性が判明した。

悪用には一定の権限が必要となるが、リモートより任意のコードを実行されるおそれがある。Windows、Linux、AIX、HP-UX、Solarisにおいて、「IBM Db2 11.5」「同11.1」「同10.5」系のサーバ、クライアントが影響を受ける。

IBMでは、共通脆弱性評価システム「CVSSv3」において、これら脆弱性のベーススコアを「6.3」と評価。一方、米国立標準技術研究所(NIST)による脆弱性データベース「NVD」では、いずれもCVSS基本値を「8.8」、重要度を「高(High)」とした。

さらに同製品のサーバに関しては、バッファオーバーフローの脆弱性「CVE-2023-30431」が判明。さらに情報漏洩の脆弱性「CVE-2023-29256」、ログ機能の不備「CVE-2023-23487」、特別に作成したラッパーでクラッシュする「CVE-2023-30442」、細工したクエリによってサービス拒否が生じる脆弱性6件が明らかとなっている。Windows向けのサーバでは、権限昇格の脆弱性「CVE-2023-27558」が確認された。

アップデートとなる「fix pack」の提供は未定としており、同社ではこれら脆弱性への暫定的な修正を含む特別ビルドを提供している。

CVE-2023-23487
CVE-2023-27558
CVE-2023-27867
CVE-2023-27868
CVE-2023-27869
CVE-2023-29256
CVE-2023-30431
CVE-2023-30442
CVE-2023-30443
CVE-2023-30445
CVE-2023-30446
CVE-2023-30447
CVE-2023-30448
CVE-2023-30449

(Security NEXT - 2023/07/19 ) このエントリーをはてなブックマークに追加

PR

関連記事

試写会の応募申込フォームに不備 - 神戸の商業施設
給与支払報告書を紛失、税額決定通知書の未着から判明 - 練馬区
委託業者が個人情報含むメールを別人に送信 - 東急MD
「フィッシングサイト撲滅チャレンジカップ」を開催 - JC3
設定ミスでイベント申込者の個人情報が閲覧可能に - 東京都
「Apache HugeGraph」の深刻な脆弱性を狙うアクセスが増加
「Java SE」に複数の脆弱性 - アップデートで修正
海外法人がランサム被害、出荷に影響はなし - アルプスアルパイン
Ivantiがアドバイザリを公開 - エンドポイント管理製品などに脆弱性
「Apache Airflow」に脆弱性 - アップデートが公開