ポーランドのセキュリティ企業Security Explorationsの研究者らは現地時間4月4日、「IBM SDK, Java Technology Edition」に対してIBMが2013年7月に発行したセキュリティパッチは不完全であり、問題が修正されていないという点について警告するとともに、当該セキュリティパッチをう回するための実証（PoC）コードを公開した。
Security Explorationsの最高経営責任者（CEO）Adam Gowdiak氏はSecLists.Orgのメーリングリスト「Full Disclosure」への投稿でこの問題を明らかにした。「Security Vulnerability Notice - SE-2012-01-IBM-4」と題された資料（PDF）の事案67によると、Java関連の不適切なプロトコル使用とコードに脆弱性が存在しているため、攻撃者はJavaのセキュリティ機構であるサンドボックスを回避できるという。
- TechRepublic Japanオススメ記事
- アンチウイルスソフトは死んだのか--セキュリティベンダー座談会（1）
- 重要なのは侵入された後の対応--セキュリティベンダー座談会（2）
- CSIRT/SOCだけでは意味がない--セキュリティベンダー座談会（3）
同氏によると、この問題を3年近く前にIBMに報告していたにもかかわらず、IBMの発行したセキュリティパッチは根本的な問題を解決せず、問題のあるクラスをプロキシクラス内の内部クラスとして隠ぺいするにとどまっていたという。このためオリジナルの実証コードを少し変更するだけで、問題を再現できたと同投稿には記されている。
また、今回の実証コードを使用したテストでは、32ビット版のLinux環境における以下の製品で問題を確認できたという。
- IBM SDK, Java Technology Edition, Version 7.1 for Linux（32ビットx86版）2016年1月26日リリース（ビルドpxi3270_27sr3fp30-20160112_01(SR3 FP30)）
- IBM SDK, Java Technology Edition, Version 8.0 for Linux（32ビットx86版）2016年1月26日リリース（ビルドpxi3280sr2fp10-20160108_01(SR2 FP10)）
IBMは米ZDNetに対し、「IBMはこの問題を認識しており、修正に取り組んでいるところだ」とコメントした。
この記事は海外CBS Interactive発の記事を朝日インタラクティブが日本向けに編集したものです。
