WebSphere Extreme Scaleで制限回避、修正版あり
IBM WebSphere Extreme Scale 8.6.1.0〜8.6.2.2に、CSPの設定不備でセキュリティ上の制限を回避される脆弱性があります。回避策がないため、修正のiFix PH73641を適用してください。
急ぎ度: 早めに
CVSS v3は9.1で、ネットワーク越しに認証なしで悪用でき、回避策がない一方、修正のiFixは公開されています。
関係があるか
WebSphere Extreme Scale 8.6.1.0〜8.6.2.2を、Linux・AIX・Windowsのいずれかで運用している組織が対象です。IBMの告知の題にはLiberty deploymentとありますが、影響を受ける版は製品と版の単位で示されています。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| IBM WebSphere Extreme Scale | 8.6.1.0〜8.6.2.2 | 8.6.2.2ならiFix PH73641を適用します。8.6.2.2より前の版は、fixpack 8.6.2.2に上げてからPH73641を適用します。 |
確かめ方
- 1社内の資産台帳や構成管理表で、WebSphere Extreme Scaleを使うサーバーを洗い出し、製品の版が8.6.1.0〜8.6.2.2に入るかを確認します。
- 2対象の版なら、サーバー上のインストール情報でiFix PH73641が適用済みかを確認します。
- 3サポート期間を過ぎた版を使っている場合は、IBMの告知に載っていなくても影響を受けないとは限りません。IBMは、サポート外の版を告知に載せていないことが影響なしの判断にはならないと注記しています。
何が起きたか
WebSphere Extreme ScaleのContent Security Policy（CSP）の設定が不適切なため、本来効くはずのセキュリティ上の制限を回避される脆弱性です。
分類はCWE-16（設定）です。コードの欠陥というより、既定の設定が防御として不十分だったという種類の問題です。
IBMは2026年10月23日に、この脆弱性を含む3件をまとめたセキュリティ情報を公開しました。残る2件は、同梱のC3.js（CVE-2016-1000240）とjQuery（CVE-2020-11023）に関するクロスサイトスクリプティングです。告知の題にXSSとあるのは、この2件を含むためです。
攻撃の流れ
-
1
対象へ到達
ネットワーク上から、Extreme Scaleを使うサービスに接続します。
-
2
CSPの不備
CSPの設定が不適切で、ブラウザー側の保護が想定どおり働きません。
-
3
制限を回避
セキュリティ上の制限が回避されます。
-
4
情報へ影響
情報の漏えいや改ざんにつながる恐れがあります。
どう悪用されるか
CVSSのベクターでは、ネットワーク越しに、特別な権限もログインも要らず、利用者の操作も不要で、攻撃の難易度は低いとされています。インターネットに公開している環境はもちろん、社内ネットワークからのアクセスも想定に入れる必要があります。
被害として見込まれるのは、機密性と完全性への高い影響です。情報が読まれる、書き換えられるといったことが想定されます。可用性への影響は示されていません。
今すぐやること
-
1
対象のサーバーを洗い出す
WebSphere Extreme Scaleを使っているサーバーと版を一覧にします。8.6.1.0〜8.6.2.2が対象です。複数の環境（本番・検証・開発）に入っていることが多いので、検証環境も漏らさず確認します。
-
2
iFix PH73641を適用する
8.6.2.2を使っているなら、そのままiFix PH73641を適用します。8.6.2.2より前の版は、まずfixpack 8.6.2.2へ更新し、そのあとでPH73641を適用します。入手先はIBM Supportのセキュリティ情報と、WebSphere eXtreme ScaleのRecommended Fixesのページです。
-
3
適用後の動作を検証する
更新後は、アプリケーションの画面表示や、Extreme Scaleと連携する処理に影響が出ていないかを検証環境で確認してから、本番へ反映します。IBMは、できるだけ早く対処することを強く推奨しています。
-
4
同じ告知の2件も確認する
同じセキュリティ情報には、C3.jsとjQueryに関する2件のXSSも含まれています。修正としてIBMが示しているのはPH73641です。適用後に、3件とも解消されたかをIBMの案内で確認します。
すぐ更新できないとき
IBMは回避策を示していません。修正版を適用できるまでのつなぎとして、一般的な対策になりますが、Extreme Scaleを使うサービスへアクセスできる範囲を、社内の限られたネットワークや必要な接続元に絞ることが考えられます。ただし、これで脆弱性が解消するわけではないので、iFixの適用計画は立てておきます。
背景
WebSphere eXtreme Scaleは、IBMが提供するデータグリッドの製品です。業務アプリケーションの前後で、データを分散してメモリ上に保持し、応答を速くする用途に使われます。基幹寄りのシステムの裏側で動いていることが多く、担当者以外には存在が見えにくい製品でもあります。
この脆弱性は、同じ告知の中でも評価が際立っています。同梱ライブラリのXSS2件のCVSSがそれぞれ7.2と6.1なのに対し、CSPの設定不備は9.1と高く付けられました。設定の不備は、特定の入力に依存せずネットワーク越しに影響が及ぶと評価されたためとみられます。
よくある質問
Q.Libertyを使っていない構成でも対象になりますか。
Q.iFixは本番環境にすぐ当ててよいですか。
まだ分かっていないこと
- 実際の攻撃で悪用された事例があるかどうかは示されていません。
- CSPのどの設定が不適切なのか、iFixでどう変わるのかといった技術的な細部は、公表されていません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| IBMWebSphere Extreme Scale |
8.6.1.0 〜 8.6.2.2→ 記載なし |
記載なし |
この記録には修正版の版が載っていません。修正版の有無と版は、本文か参照URLのベンダーの勧告で確かめてください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
IBM WebSphere Extreme Scale 8.6.1.0 through 8.6.2.2 could allow a remote attacker to bypass security restrictions due to improper Content Security Policy configuration.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web psirt@us.ibm.com
- web nvd.nist.gov
- web github.com