- ひとことでIBM Data Risk Manager で、ログイン済みの攻撃者がシステムの命令を実行できる弱点です。
- 深刻度9.1 緊急CVSS v3.1
- まずやることData Risk Manager の版を確かめる
基本情報（データから表示）
| CVE番号 | CVE-2020-4428 |
|---|---|
| 製品 | IBM Data Risk Manager |
| 深刻度（CVSS） | 9.1 緊急CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H |
| KEVへの追加日 | 2021-11-03 |
| 米国政府機関の対応期限 | 2022-05-03 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-78（OSコマンドインジェクション） |
何が起きた
IBM Data Risk Manager に、ログイン済みの攻撃者がシステム上で任意のコマンド（命令）を実行できる弱点が見つかりました。CISA の概要では、弱点の詳しい中身は明らかにされていません。NVD の評価では、ネットワーク経由で、管理者などの高い権限を持つ攻撃者が、利用者の操作なしに悪用できます。CISA は実際に悪用されたことを確認しています。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
IBM Data Risk Manager を使っている組織が対象です。IBM のセキュリティ情報によると、この弱点（Command Injection）は 2.0.4 以前の版が影響を受けます。NVD の説明では 2.0.1、2.0.2、2.0.3、2.0.4 が挙げられています。
何をすればいい
IBM のセキュリティ情報に従い、まず 2.0.6 に上げてから、修正パック 2.0.6.1 を当て、その上に修正パック 2.0.6.2 を当ててください（2.0.6.2 は 2.0.6.1 を含まないため、順番に当てる必要があります）。更新が済んでいるか確認し、IBM の公式の案内も確認してください。
やることチェックリスト
- Data Risk Manager の版を確かめる
- 2.0.6 に上げてから修正パック 2.0.6.1 を当てる
- その上に修正パック 2.0.6.2 を当てる
用語メモ
- コマンド
- コンピューターに仕事をさせるための命令です。攻撃者に実行されると、システムを好きに操作されるおそれがあります。
- 修正パック
- 製品の不具合や弱点を直すために、メーカーが配る追加のプログラムです。
次に読む
公式情報と元データ
公式情報
元データ（英語・CISA KEV より）を開く
IBM Data Risk Manager Remote Code Execution Vulnerability
概要
IBM Data Risk Manager contains an unspecified vulnerability which could allow a remote, authenticated attacker to execute commands on the system.�
推奨対応
Apply updates per vendor instructions.
この元データの出どころ: CISA KEV カタログで見る