【CVE-2024-25023】IBMのCloud Pak for SecurityとQRadar Suite Softwareに重大な脆弱性、情報漏洩のリスクに警鐘

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

IBMのCloud Pak for SecurityとQRadar Suite Softwareに脆弱性
重要情報の平文保存による機密性への高い影響
CVE-2024-25023として識別された脆弱性の対策が必要

IBMのCloud Pak for SecurityとQRadar Suite Softwareの脆弱性が判明

IBMは、Cloud Pak for SecurityおよびIBM QRadar Suite Softwareに重要な情報の平文保存に関する脆弱性が存在することを公開した。この脆弱性はCVE-2024-25023として識別されており、CVSS v3による深刻度基本値は5.5（警告）とされている。影響を受けるバージョンは、Cloud Pak for Security 1.10.0.0から1.10.11.0、およびIBM QRadar Suite Software 1.10.12.0以上1.10.23.0未満だ。^[1]

この脆弱性の特徴として、攻撃元区分がローカルであり、攻撃条件の複雑さが低いことが挙げられる。また、攻撃に必要な特権レベルは低く、利用者の関与は不要とされている。影響の想定範囲に変更はないものの、機密性への影響が高いと評価されており、重要な情報が平文で保存されていることによる情報漏洩のリスクが懸念される。

IBMは、この脆弱性に対する正式な対策を公開している。ユーザーは、IBM Support Document：7159768およびIBM X-Force Exchange：ibm-qradar-cve202425023-info-disc（281429）を参照し、適切な対策を実施することが推奨される。この脆弱性は、CWEによる脆弱性タイプ一覧では「重要な情報の平文保存（CWE-312）」に分類されており、早急な対応が求められる。

IBM製品の脆弱性概要

項目	詳細
影響を受ける製品	Cloud Pak for Security 1.10.0.0-1.10.11.0、QRadar Suite Software 1.10.12.0以上1.10.23.0未満
脆弱性の種類	重要な情報の平文保存（CWE-312）
CVSS v3基本値	5.5（警告）
攻撃元区分	ローカル
攻撃条件の複雑さ	低
機密性への影響	高

重要な情報の平文保存について

重要な情報の平文保存とは、パスワードやクレデンシャルなどの機密性の高いデータを暗号化せずにそのまま保存することを指す。この脆弱性が存在する場合、以下のようなリスクが考えられる。

不正アクセスによる機密情報の漏洩
内部関係者による意図的または偶発的な情報流出
法令遵守や個人情報保護規制への違反

IBM Cloud Pak for SecurityおよびIBM QRadar Suite Softwareにおける今回の脆弱性では、重要な情報が平文で保存されていることが問題視されている。この状態では、システムへの不正アクセスや内部からの情報漏洩が発生した場合、直接的に機密情報が露出してしまう可能性が高く、企業や組織にとって深刻なセキュリティリスクとなる。

IBMのセキュリティ製品の脆弱性に関する考察

IBMのCloud Pak for SecurityとQRadar Suite Softwareに発見された脆弱性は、セキュリティ製品自体に存在するという点で特に重要だ。これらの製品は、組織の重要な情報を保護するために導入されるにもかかわらず、その製品自体が情報漏洩のリスクを内包していたことは、セキュリティ製品の信頼性に疑問を投げかけるものだろう。今後、セキュリティベンダーには、自社製品のセキュリティ品質管理をより厳格に行うことが求められるだろう。

また、この脆弱性の影響範囲が複数のバージョンに及んでいることから、長期間にわたってこの問題が存在していた可能性がある。このことは、定期的なセキュリティ監査やペネトレーションテストの重要性を再認識させる。企業は、外部の専門家による定期的なセキュリティ評価を実施し、自社システムの脆弱性を早期に発見・修正する体制を整えることが重要だ。

今後、IBMには単に脆弱性を修正するだけでなく、このような問題が発生した根本原因を分析し、開発プロセスの見直しや品質管理の強化を行うことが期待される。また、ユーザー企業側も、ベンダーからの通知を待つだけでなく、自社のセキュリティ体制を常に見直し、多層的な防御策を講じることが重要だ。セキュリティ製品の脆弱性は、サイバーセキュリティ対策の複雑さと継続的な改善の必要性を示している。