IBMのストレージ管理製品に脆弱性 - 認証バイパスやRCEのおそれ

IBMのストレージ管理製品「IBM SAN Volume Controller」「IBM Storwize」「IBM Spectrum Virtualize」「IBM FlashSystem」に脆弱性が明らかとなった。

各製品に実装されている「IBM Storage Virtualize」のグラフィカルユーザーインターフェース（GUI）に複数の脆弱性が判明したもの。

具体的には、細工されたHTTPリクエストを送信することで「RPCAdapter」の認証をバイパスできる「CVE-2025-0159」が確認された。

また「IBM FlashSystem」において「RPCAdapter」サービスの制限が適切に行われておらず、リモートから任意のコードを実行できる脆弱性「CVE-2025-0160」が明らかとなっている。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「CVE-2025-0159」が「9.1」、「CVE-2025-0160」が「8.1」と続き、重要度はそれぞれ「クリティカル（Critical）」「高（High）」とレーティングされている。

「IBM Storage Virtualize 8.7.2.2」「同8.7.0.3」「同8.6.0.6」「同8.5.0.14」に影響があり、同社は脆弱性を修正したアップデートをリリース。利用者にアップデートを呼びかけている。

（Security NEXT - 2025/03/07 ）ツイート