セキュリティ

SECURITY

公開：2024-11-20

【CVE-2024-45642】IBM Security ReaQta 3.12でXSS脆弱性を発見、特権ユーザーによる不正コード実行のリスクに

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

• IBM Security ReaQta 3.12でXSS脆弱性が発見
• 特権ユーザーによる不正なJavaScriptコード埋め込みが可能
• 信頼済みセッション内での認証情報漏洩のリスクあり

IBM Security ReaQta 3.12における深刻なXSS脆弱性の発見

IBMは2024年11月14日にIBM Security ReaQta 3.12における重大な脆弱性に関する情報を公開した。この脆弱性は特権を持つユーザーがWeb UIに任意のJavaScriptコードを埋め込むことを可能にするクロスサイトスクリプティング（XSS）の問題として特定されている。^[1]

本脆弱性は【CVE-2024-45642】として識別されており、CVSS v3.1のベーススコアは5.3（MEDIUM）と評価された。攻撃者は特権を持つユーザーアカウントを必要とするものの、WebインターフェースにJavaScriptコードを埋め込むことで、信頼済みセッション内での認証情報漏洩などの脅威をもたらす可能性がある。

IBM Security ReaQtaにおける本脆弱性は、クロスドメインのホワイトリストが過度に許容的であることに起因している。CWE-942として分類されるこの問題は、攻撃の自動化が可能であり、技術的な影響は部分的とされているものの、早急な対応が推奨される。

IBM Security ReaQta 3.12の脆弱性詳細

脆弱性の詳細はこちら

クロスサイトスクリプティングについて

クロスサイトスクリプティングとは、Webアプリケーションの脆弱性の一種であり、攻撃者が悪意のあるスクリプトを注入できる状態を指す。以下のような特徴がある。

• Webページに悪意のあるスクリプトを埋め込み可能
• ユーザーの認証情報や個人情報を窃取する可能性
• 正規サイトを装った不正な操作を実行可能

IBM Security ReaQta 3.12で発見された脆弱性では、特権ユーザーによるJavaScriptコードの埋め込みが可能となっている。クロスドメインのホワイトリストが過度に許容的であることから、攻撃者は信頼済みセッション内で不正なスクリプトを実行し、重要な認証情報を漏洩させる可能性がある。

IBM Security ReaQtaの脆弱性に関する考察

IBM Security ReaQta 3.12における脆弱性の発見は、セキュリティ製品自体の堅牢性を再考する重要な機会となっている。特権ユーザーによる攻撃を想定したセキュリティ設計の重要性が改めて浮き彫りとなり、クロスドメインポリシーの適切な設定と定期的な見直しの必要性が強く認識された。

今後はゼロトラストアーキテクチャの考え方に基づき、特権ユーザーに対してもより厳格なアクセス制御と監視が必要となるだろう。セキュリティ製品の開発において、内部からの攻撃に対する防御機能の強化と、定期的なセキュリティ評価の実施が重要な課題となっている。

クロスサイトスクリプティング対策として、コンテンツセキュリティポリシーの適切な実装や入力値の厳格な検証が不可欠だ。今後はAIを活用した異常検知や、ゼロデイ攻撃に対する即時対応能力の向上など、より高度なセキュリティ機能の実装が期待される。

参考サイト

1. ^ CVE. 「CVE Record | CVE」. https://www.cve.org/CVERecord?id=CVE-2024-45642, (参照 24-11-20).
2. IBM. https://www.ibm.com/jp-ja

※上記コンテンツはAIで確認しておりますが、間違い等ある場合はコメントよりご連絡いただけますと幸いです。

「セキュリティ」に関するコラム一覧「セキュリティ」に関するニュース一覧