【CVE-2024-25024】IBMのCloud Pak for SecurityとQRadar Suite Softwareに重要情報の平文保存の脆弱性、セキュリティリスクが増大

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約
IBMのセキュリティ製品に重要情報の平文保存の脆弱性
IBM製品の脆弱性詳細
重要な情報の平文保存について
IBMのセキュリティ製品の脆弱性に関する考察
参考サイト

記事の要約

IBMのCloud Pak for SecurityとQRadar Suiteに脆弱性
重要情報が平文で保存される問題が発見
CVSS基本値5.5の警告レベルの脆弱性

IBMのセキュリティ製品に重要情報の平文保存の脆弱性

IBMは、同社のCloud Pak for SecurityおよびIBM QRadar Suite Softwareに重要な情報の平文保存に関する脆弱性が存在することを公表した。この脆弱性は、CVE-2024-25024として識別されており、CWEによる脆弱性タイプは重要な情報の平文保存（CWE-312）に分類されている。NVDの評価によると、CVSS v3による深刻度基本値は5.5（警告）とされている。^[1]

影響を受けるバージョンは、Cloud Pak for Securityの1.10.0.0から1.10.11.0、およびIBM QRadar Suite Softwareの1.10.12.0以上1.10.24.0未満である。この脆弱性により、攻撃者が重要な情報を取得できる可能性がある。IBMは正式な対策を公開しており、ユーザーにはベンダー情報を参照して適切な対策を実施することを推奨している。

この脆弱性の特徴として、攻撃元区分がローカル、攻撃条件の複雑さが低、攻撃に必要な特権レベルが低、利用者の関与が不要とされている点が挙げられる。また、影響の想定範囲に変更はないものの、機密性への影響が高いと評価されている。完全性および可用性への影響はないとされているが、セキュリティ製品の性質上、早急な対応が求められる。

IBM製品の脆弱性詳細

	Cloud Pak for Security	QRadar Suite Software
影響を受けるバージョン	1.10.0.0 から 1.10.11.0	1.10.12.0 以上 1.10.24.0 未満
脆弱性の種類	重要な情報の平文保存	重要な情報の平文保存
CVE識別子	CVE-2024-25024	CVE-2024-25024
CVSS基本値	5.5 (警告)	5.5 (警告)
対策状況	ベンダーより正式な対策公開	ベンダーより正式な対策公開

重要な情報の平文保存について

重要な情報の平文保存とは、パスワードや個人情報などの機密データを暗号化せずにそのまま保存することを指しており、主な特徴として以下のような点が挙げられる。

データが容易に読み取られる可能性がある
情報漏洩のリスクが高い
コンプライアンス違反につながる可能性がある

この脆弱性は、CWE-312として分類されており、セキュリティ製品において特に重大な問題となる。IBMのCloud Pak for SecurityやQRadar Suite Softwareのような重要なセキュリティツールでこの脆弱性が発見されたことは、ユーザーデータの保護に関する懸念を引き起こす。適切な暗号化や保護メカニズムの実装が、この種の脆弱性を防ぐ上で極めて重要である。

IBMのセキュリティ製品の脆弱性に関する考察

IBMのCloud Pak for SecurityとQRadar Suite Softwareに発見された重要情報の平文保存の脆弱性は、セキュリティ製品の信頼性に大きな影響を与える可能性がある。これらの製品は企業の重要な情報を扱うため、このような脆弱性の存在は顧客データの保護に関する深刻な懸念を引き起こす。IBMが迅速に対策を公開したことは評価できるが、セキュリティ製品自体にこのような脆弱性が存在したことは、開発プロセスの見直しが必要であることを示唆している。

今後、この脆弱性を悪用した攻撃が増加する可能性があり、影響を受ける組織は迅速なパッチ適用が求められる。また、セキュリティ製品のユーザーは、ベンダーの対応だけでなく、自社のセキュリティ体制の再評価も必要となるだろう。特に、重要情報の扱いに関するポリシーの見直しや、暗号化の徹底など、多層的な防御策の構築が重要になる。

IBMには、今回の教訓を活かし、製品開発段階でのセキュリティテストの強化や、脆弱性の早期発見・修正のためのプロセス改善が期待される。また、業界全体としても、セキュリティ製品の品質保証に関する基準の見直しや、第三者による監査の強化など、より厳格な品質管理体制の構築が求められる。このインシデントを契機に、セキュリティ製品の信頼性向上に向けた取り組みが加速することが期待される。