IBM Data Risk Manager のパストラバーサルの脆弱性（CVE-2020-4430）

何が起きた

IBM Data Risk Manager に、決められたフォルダの外のファイルまでたどれてしまう、ディレクトリトラバーサルの弱点が見つかりました。ログイン済みの攻撃者が細工した URL を送ると、システム上の任意のファイルをダウンロードできるおそれがあります。NVD の評価では、ネットワーク経由で、一般利用者程度の権限を持つ攻撃者が、利用者の操作なしに悪用できます。CISA は実際に悪用されたことを確認しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

IBM Data Risk Manager を使っている組織が対象です。IBM のセキュリティ情報によると、この弱点（Path Traversal）は 2.0.4 以前の版が影響を受けます。NVD の説明では 2.0.1、2.0.2、2.0.3、2.0.4 が挙げられています。

何をすればいい

IBM のセキュリティ情報に従い、まず 2.0.6 に上げてから、修正パック 2.0.6.1 を当て、その上に修正パック 2.0.6.2 を当ててください（2.0.6.2 は 2.0.6.1 を含まないため、順番に当てる必要があります）。更新が済んでいるか確認し、IBM の公式の案内も確認してください。

やることチェックリスト

• Data Risk Manager の版を確かめる
• 2.0.6 に上げてから修正パック 2.0.6.1 を当てる
• その上に修正パック 2.0.6.2 を当てる

用語メモ

ディレクトリトラバーサル

ファイルの場所の指定を細工して、本来は見られないフォルダのファイルまでたどって読み出す攻撃です。

修正パック

製品の不具合や弱点を直すために、メーカーが配る追加のプログラムです。