ストレージ仮想化ソフト「IBM Storage Virtualize」の一部プラグインに脆弱性

IBMが提供するストレージ仮想化ソフトウェア「IBM Storage Virtualize」の「vSphereリモートプラグイン」に認証情報が漏洩する脆弱性が明らかとなった。

「IBM Storage Virtualize vSphere Remote Plug-in」では、仮想アプライアンス（OVA）においてデプロイされた複数のインスタンス間で、共通の暗号鍵を使用する「CVE-2023-43029」が判明したもの。

「IBM FlashSystem」や「SAN Volume Controller」「Storwize」の管理用資格情報や「vSphere」の管理者に関する認証情報、証明書などが外部に漏洩するおそれがある。さらに同プラグインのサポートパッケージには暗号化された機密情報も含まれるという。

脆弱性の悪用には高い権限が必要としており、 IBM X-Forceでは、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「6.8」、重要度を「中（Medium）」とレーティングした。

「IBM Storage Virtualize vSphere Remote Plug-in 2.0.0」「同1.3.0」「同1.2.0」「同1.1.1」にて脆弱性を修正しており、いずれかのバージョンにアップデートするよう呼びかけている。

（Security NEXT - 2025/03/24 ）ツイート