編集部からのお知らせ
新着PDF集:データセンターの省電力化
「これからの企業IT」の記事はこちら

IBMの過去のセキュリティパッチに不具合--研究者が実証コードを公開

Charlie Osborne (Special to ZDNet.com) 翻訳校正: 編集部

2016-04-08 10:57

 ポーランドのセキュリティ企業Security Explorationsの研究者らは現地時間4月4日、「IBM SDK, Java Technology Edition」に対してIBMが2013年7月に発行したセキュリティパッチは不完全であり、問題が修正されていないという点について警告するとともに、当該セキュリティパッチをう回するための実証(PoC)コードを公開した。

 Security Explorationsの最高経営責任者(CEO)Adam Gowdiak氏はSecLists.Orgのメーリングリスト「Full Disclosure」への投稿でこの問題を明らかにした。「Security Vulnerability Notice - SE-2012-01-IBM-4」と題された資料(PDF)の事案67によると、Java関連の不適切なプロトコル使用とコードに脆弱性が存在しているため、攻撃者はJavaのセキュリティ機構であるサンドボックスを回避できるという。

 同氏によると、この問題を3年近く前にIBMに報告していたにもかかわらず、IBMの発行したセキュリティパッチは根本的な問題を解決せず、問題のあるクラスをプロキシクラス内の内部クラスとして隠ぺいするにとどまっていたという。このためオリジナルの実証コードを少し変更するだけで、問題を再現できたと同投稿には記されている。

 また、今回の実証コードを使用したテストでは、32ビット版のLinux環境における以下の製品で問題を確認できたという。

  • IBM SDK, Java Technology Edition, Version 7.1 for Linux(32ビットx86版)2016年1月26日リリース(ビルドpxi3270_27sr3fp30-20160112_01(SR3 FP30))
  • IBM SDK, Java Technology Edition, Version 8.0 for Linux(32ビットx86版)2016年1月26日リリース(ビルドpxi3280sr2fp10-20160108_01(SR2 FP10))

 IBMは米ZDNetに対し、「IBMはこの問題を認識しており、修正に取り組んでいるところだ」とコメントした。

この記事は海外CBS Interactive発の記事を朝日インタラクティブが日本向けに編集したものです。

ZDNet Japan 記事を毎朝メールでまとめ読み(登録無料)

特集

CIO

モバイル

セキュリティ

スペシャル

NEWSLETTERS

エンタープライズ・コンピューティングの最前線を配信

ZDNet Japanは、CIOとITマネージャーを対象に、ビジネス課題の解決とITを活用した新たな価値創造を支援します。
ITビジネス全般については、CNET Japanをご覧ください。

このサイトでは、利用状況の把握や広告配信などのために、Cookieなどを使用してアクセスデータを取得・利用しています。 これ以降ページを遷移した場合、Cookieなどの設定や使用に同意したことになります。
Cookieなどの設定や使用の詳細、オプトアウトについては詳細をご覧ください。
[ 閉じる ]