セキュリティ

SECURITY

公開：2024-09-17

【CVE-2024-39747】IBM Sterling Connect:Direct Web Servicesに深刻な脆弱性、デフォルト認証情報使用のリスクが明らかに

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

• IBM Sterling Connect:Direct Web Servicesに脆弱性
• デフォルトの認証情報使用に関する問題を確認
• 影響度は緊急レベル、早急な対策が必要

IBM Sterling Connect:Direct Web Servicesの脆弱性発見

IBMは、同社のIBM Sterling Connect:Direct Web Servicesにおいて、デフォルトの認証情報の使用に関する脆弱性が存在することを公表した。この脆弱性は、CVSS v3による基本値が9.8（緊急）と評価されており、攻撃元区分がネットワークで、攻撃条件の複雑さが低いという特徴を持っている。影響を受けるバージョンは、6.0.0.0から6.1.0.25未満、6.2.0から6.2.0.24未満、6.3.0から6.3.0.9未満となっている。^[1]

この脆弱性の影響として、攻撃者が情報を取得したり、情報を改ざんしたりする可能性がある。さらに、サービス運用妨害（DoS）状態に陥らせる危険性も指摘されている。IBMは、この脆弱性に対する正式な対策を公開しており、ユーザーに対してベンダー情報を参照し、適切な対策を実施するよう呼びかけている。

この脆弱性は、CWE（Common Weakness Enumeration）によってデフォルトの認証情報の使用（CWE-1392）として分類されている。また、共通脆弱性識別子（CVE）としてCVE-2024-39747が割り当てられた。IBMは、この問題に関する詳細情報をIBM Support Document : 7166947およびIBM X-Force Exchange : ibm-sterling-cve202439747-info-disc (297314)で公開している。

IBM Sterling Connect:Direct Web Servicesの脆弱性まとめ

デフォルトの認証情報の使用について

デフォルトの認証情報の使用とは、ソフトウェアやシステムに予め設定されている初期のユーザー名とパスワードを変更せずに使用し続けることを指す。主な特徴として以下のような点が挙げられる。

• 簡単に推測可能な認証情報が使用される
• 多くの製品で共通の認証情報が使用されることがある
• セキュリティ上の大きな脆弱性となる可能性が高い

IBM Sterling Connect:Direct Web Servicesの脆弱性は、このデフォルトの認証情報の使用に関連している。攻撃者がこの脆弱性を悪用した場合、システムへの不正アクセスが可能となり、情報の取得や改ざん、さらにはサービス運用妨害（DoS）状態を引き起こす可能性がある。そのため、ユーザーは速やかにベンダーが提供する対策を適用し、認証情報を変更することが強く推奨される。

IBM Sterling Connect:Direct Web Servicesの脆弱性に関する考察

IBM Sterling Connect:Direct Web Servicesの脆弱性が緊急レベルで報告されたことは、企業のセキュリティ管理の重要性を再認識させる出来事だ。特に、デフォルトの認証情報の使用という基本的なセキュリティ対策の不備が、このような深刻な脆弱性につながったという点は、多くの組織にとって警鐘となるだろう。今後、同様の脆弱性を防ぐためには、製品導入時の初期設定の見直しや、定期的なセキュリティ監査の実施が不可欠となる。

一方で、この脆弱性の公表と対策の提供は、IBMの責任ある対応を示すものだ。しかし、影響を受けるバージョンが複数存在することから、各組織がそれぞれのシステムのバージョンを正確に把握し、適切な対策を迅速に適用することが課題となるだろう。今後、IBMには脆弱性の早期発見と迅速な対策提供だけでなく、ユーザーへの効果的な周知方法や、更新プロセスの簡素化などが求められる。

さらに、この事例を通じて、セキュリティコミュニティ全体でデフォルトの認証情報の危険性に対する認識を高める必要がある。製品開発段階からセキュリティを考慮したデザイン（Security by Design）の採用や、ユーザーに対する強力なパスワードポリシーの強制など、より包括的なアプローチが求められるだろう。今後は、AIを活用した異常検知システムの導入や、多要素認証の標準化など、より高度なセキュリティ対策の普及が期待される。

参考サイト

1. ^ JVN. 「JVNDB-2024-008014 - JVN iPedia - 脆弱性対策情報データベース」. https://jvndb.jvn.jp/ja/contents/2024/JVNDB-2024-008014.html, (参照 24-09-17).
2. IBM. https://www.ibm.com/jp-ja

※上記コンテンツはAIで確認しておりますが、間違い等ある場合はコメントよりご連絡いただけますと幸いです。

「セキュリティ」に関するコラム一覧「セキュリティ」に関するニュース一覧