CVE-2019-4716とは？IBM Planning Analyticsの脆弱性をわかりやすく解説

ひとことでIBM Planning Analytics に、設定を書き換えられ管理者として操られる弱点があります。
深刻度9.8 緊急CVSS v3.1
まずやることPlanning Analytics の版を確認する

基本情報（データから表示）

CVE番号	CVE-2019-4716
製品	IBM Planning Analytics
深刻度（CVSS）	9.8 緊急CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2021-11-03
米国政府機関の対応期限	2022-05-03
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-94（コードインジェクション）

何が起きた

IBM Planning Analytics に、設定を上書きされてしまう弱点が見つかりました。ログインしていない利用者が「admin」としてログインし、さらに TM1 のスクリプト機能を使って、root または SYSTEM（いちばん強い権限）でプログラムを動かせてしまいます。NVD の評価では、ログインしていない攻撃者がネットワーク経由で悪用できます。CISA は、この弱点が実際に悪用されたことを確認しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

IBM Planning Analytics を使っている組織が対象です。IBM によると、影響を受けるのは 2.0.0 から 2.0.8 です。

何をすればいい

IBM によると、修正は IBM Planning Analytics 2.0.9 に入っています。できるだけ早く 2.0.9 以降に更新されているか確認してください。IBM は回避策はないとしています。あわせて IBM の公式の案内を確認してください。

やることチェックリスト

Planning Analytics の版を確認する
Planning Analytics を 2.0.9 以降に更新する
回避策がないため更新を急ぐ

用語メモ

TM1: IBM Planning Analytics の中で計算や処理を担う仕組みで、スクリプト（処理の手順書）を動かせます。
root 用語集で見る: Linux などで、すべての操作ができるいちばん強い管理者の権限です。
SYSTEM 用語集で見る: Windows で、OS 自身が使うとても強い権限です。

次に読む

同じ製品・メーカーの脆弱性IBM Langflow（CVE-2026-9198）9.8 緊急CVSS v3.1Langflowで、初期設定のままだとログインせずに管理者の権限を取られ、コードを実行される弱点です。同じ製品・メーカーの脆弱性IBM Aspera Faspex（CVE-2022-47986）9.8 緊急CVSS v3.1IBM Aspera Faspex で、古い API を悪用されてプログラムを実行される弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る・これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

IBM Planning Analytics Remote Code Execution Vulnerability

概要

IBM Planning Analytics is vulnerable to a configuration overwrite that allows an unauthenticated user to login as "admin", and then execute code as root or SYSTEM via TM1 scripting.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る

IBM Planning Analytics のリモートコード実行の脆弱性（CVE-2019-4716）