IBM WebSphere Application Server and Server Hypervisor Edition のコードインジェクションの脆弱性（CVE-2015-7450）

何が起きた

IBM の多くの製品で使われている Apache Commons Collections というライブラリの InvokerTransformer という部分が原因で、細工したシリアライズ済みの Java オブジェクトを送られると、攻撃者が任意の（好きに選べる）コマンドを実行できる弱点が見つかりました。NVD の評価では、ネットワーク経由で、ログイン不要・利用者の操作なしで悪用できます。CISA によると実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

KEV では IBM WebSphere Application Server と Server Hypervisor Edition が挙げられています。IBM のセキュリティ情報では、WebSphere Application Server の 8.5 と 8.5.5（Traditional と Liberty）、8.0、7.0 が影響を受けるおそれがあり、それより前のバージョンは影響を受けません。NVD の説明では、IBM の分析や業務向けなど、ほかの製品も対象とされています。

何をすればいい

IBM は、8.5.0.0〜8.5.5.7 には Fix Pack 8（8.5.5.8）以降、8.0.0.0〜8.0.0.11 には Fix Pack 12（8.0.0.12）以降、7.0.0.0〜7.0.0.39 には Fix Pack 41（7.0.0.41）以降を当てるか、暫定修正 PI52103 を当てるよう案内しています。Liberty の一部の機能を使っている場合は、Fix Pack 17.0.0.4 以降も案内されています。また IBM は、環境全体で古い Apache Commons Collections を探して対処するよう勧めています。詳しくは IBM の公式の案内を確認してください。

やることチェックリスト

• WebSphere を 8.5.5.8 などの修正版に更新する
• 更新できなければ暫定修正 PI52103 を当てる
• 古い Apache Commons Collections を探して対処する

用語メモ

ライブラリ

多くのプログラムで共通して使える機能をまとめた部品です。

シリアライズ

プログラムの中のデータを、保存や送信ができる形に変換することです。受け取った側は元の形に戻して使います。

Fix Pack

IBM が製品向けにまとめて配る修正のパッケージです。