最近の脆弱性 › CVE-2019-4716
IBM Planning Analytics のリモートコード実行の脆弱性（CVE-2019-4716）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
基本情報（データから表示）
| CVE番号 | CVE-2019-4716 |
|---|---|
| 製品 | IBM Planning Analytics |
| 深刻度（CVSS） | 9.8 緊急CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| KEVへの追加日 | 2021-11-03 |
| 米国政府機関の対応期限 | 2022-05-03 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-94 |
何が起きた
IBM Planning Analytics に、設定を上書きされてしまう弱点が見つかりました。ログインしていない利用者が「admin」としてログインし、さらに TM1 のスクリプト機能を使って、root または SYSTEM（いちばん強い権限）でプログラムを動かせてしまいます。NVD の評価では、ログインしていない攻撃者がネットワーク経由で悪用できます。CISA は、この弱点が実際に悪用されたことを確認しています。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
IBM Planning Analytics を使っている組織が対象です。IBM によると、影響を受けるのは 2.0.0 から 2.0.8 です。
何をすればいい
IBM によると、修正は IBM Planning Analytics 2.0.9 に入っています。できるだけ早く 2.0.9 以降に更新されているか確認してください。IBM は回避策はないとしています。あわせて IBM の公式の案内を確認してください。
やることチェックリスト
- Planning Analytics の版を確認する
- Planning Analytics を 2.0.9 以降に更新する
- 回避策がないため更新を急ぐ
用語メモ
- TM1
- IBM Planning Analytics の中で計算や処理を担う仕組みで、スクリプト（処理の手順書）を動かせます。
- root
- Linux などで、すべての操作ができるいちばん強い管理者の権限です。
- SYSTEM
- Windows で、OS 自身が使うとても強い権限です。
元データ（英語・CISA KEV より）
IBM Planning Analytics Remote Code Execution Vulnerability
概要
IBM Planning Analytics is vulnerable to a configuration overwrite that allows an unauthenticated user to login as "admin", and then execute code as root or SYSTEM via TM1 scripting.
推奨対応
Apply updates per vendor instructions.