IBM Data Risk Manager のリモートコード実行の脆弱性（CVE-2020-4428）

何が起きた

IBM Data Risk Manager に、ログイン済みの攻撃者がシステム上で任意のコマンド（命令）を実行できる弱点が見つかりました。CISA の概要では、弱点の詳しい中身は明らかにされていません。NVD の評価では、ネットワーク経由で、管理者などの高い権限を持つ攻撃者が、利用者の操作なしに悪用できます。CISA は実際に悪用されたことを確認しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

IBM Data Risk Manager を使っている組織が対象です。IBM のセキュリティ情報によると、この弱点（Command Injection）は 2.0.4 以前の版が影響を受けます。NVD の説明では 2.0.1、2.0.2、2.0.3、2.0.4 が挙げられています。

何をすればいい

IBM のセキュリティ情報に従い、まず 2.0.6 に上げてから、修正パック 2.0.6.1 を当て、その上に修正パック 2.0.6.2 を当ててください（2.0.6.2 は 2.0.6.1 を含まないため、順番に当てる必要があります）。更新が済んでいるか確認し、IBM の公式の案内も確認してください。

やることチェックリスト

• Data Risk Manager の版を確かめる
• 2.0.6 に上げてから修正パック 2.0.6.1 を当てる
• その上に修正パック 2.0.6.2 を当てる

用語メモ

コマンド

コンピューターに仕事をさせるための命令です。攻撃者に実行されると、システムを好きに操作されるおそれがあります。

修正パック

製品の不具合や弱点を直すために、メーカーが配る追加のプログラムです。