「IBM Db2」の「JDBCドライバ」に複数の脆弱性 - 暫定修正を提供

「IBM Db2」に複数の脆弱性が含まれていることがわかった。暫定的な修正プログラムが提供されている。

「JDBCドライバ」では、未チェックの「Logger」が挿入されるおそれがある「CVE-2023-27869」や、JNDIインジェクションの脆弱性「CVE-2023-27867」、クラスのインスタンス化におけるチェックの不備「CVE-2023-27868」など3件の脆弱性が判明した。

悪用には一定の権限が必要となるが、リモートより任意のコードを実行されるおそれがある。Windows、Linux、AIX、HP-UX、Solarisにおいて、「IBM Db2 11.5」「同11.1」「同10.5」系のサーバ、クライアントが影響を受ける。

IBMでは、共通脆弱性評価システム「CVSSv3」において、これら脆弱性のベーススコアを「6.3」と評価。一方、米国立標準技術研究所（NIST）による脆弱性データベース「NVD」では、いずれもCVSS基本値を「8.8」、重要度を「高（High）」とした。

さらに同製品のサーバに関しては、バッファオーバーフローの脆弱性「CVE-2023-30431」が判明。さらに情報漏洩の脆弱性「CVE-2023-29256」、ログ機能の不備「CVE-2023-23487」、特別に作成したラッパーでクラッシュする「CVE-2023-30442」、細工したクエリによってサービス拒否が生じる脆弱性6件が明らかとなっている。Windows向けのサーバでは、権限昇格の脆弱性「CVE-2023-27558」が確認された。

アップデートとなる「fix pack」の提供は未定としており、同社ではこれら脆弱性への暫定的な修正を含む特別ビルドを提供している。

CVE-2023-23487
CVE-2023-27558
CVE-2023-27867
CVE-2023-27868
CVE-2023-27869
CVE-2023-29256
CVE-2023-30431
CVE-2023-30442
CVE-2023-30443
CVE-2023-30445
CVE-2023-30446
CVE-2023-30447
CVE-2023-30448
CVE-2023-30449

（Security NEXT - 2023/07/19 ）ツイート

「IBM Db2」の「JDBCドライバ」に複数の脆弱性 - 暫定修正を提供

関連リンク

PR

関連記事