IBM Aspera Faspex の安全でないデシリアライズの脆弱性（CVE-2022-47986）

何が起きた

大きなファイルを送受信するための製品 IBM Aspera Faspex に、YAML という形式のデータを読み込む処理（デシリアライズ）の弱点が見つかりました。攻撃者が、すでに使われなくなった古い API に細工したデータを送ると、システム上で任意の（攻撃者が好きに選べる）プログラムを実行できる可能性があります。この弱点は実際の攻撃で悪用されたことが確認されており、ランサムウェアでの悪用も確認されています。NVD の評価では、ネットワーク経由で、ログインしていない攻撃者でも悪用できるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

IBM Aspera Faspex 4.4.2 Patch Level 1 以前を使っている組織が対象です。

何をすればいい

IBM の案内に従い、4.4.2 PL2（Patch Level 2）以降に更新されているか確認してください。IBM によると、この弱点の回避策はなく、修正をできるだけ早く適用するよう案内されています。公式の案内を確認し、手順に従って更新してください。

やることチェックリスト

• Aspera Faspex を 4.4.2 PL2 以降に更新する
• 4.4.2 Patch Level 1 以前の環境がないか調べる
• 回避策はないため早めに修正を適用する

用語メモ

デシリアライズ

ファイルや通信で受け取ったデータを、プログラムの中で使える形に組み立て直す処理です。中身を確かめずに行うと、悪いデータでプログラムを動かされることがあります。

API

プログラムどうしが機能やデータをやり取りするための決まった窓口です。

ランサムウェア

データを使えない状態にして、元に戻すことと引き換えに身代金を求める不正なプログラムです。