IBM Aspera Faspexに管理者権限の脆弱性、修正版あり
IBM Aspera Faspex 5.0.0から5.0.19に、細工したメッセージで認可を回避し管理者権限を得られる脆弱性があり、修正版が出ました。Faspex 5を運用する組織は5.0.19 PL1へ更新し、更新前の管理者権限の変化も確認してください。
急ぎ度: 早めに
CVSS v3は9.8で回避策がなく、修正版5.0.19 PL1が公開されているため、更新を急ぐ案件です。
関係があるか
Faspex 5を社内や取引先とのファイル受け渡しに使っている組織が対象です。管理者権限まで渡る可能性があるため、利用者が少ない環境でも確認が要ります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| IBM Aspera Faspex | 5.0.0から5.0.19 | 5.0.19 PL1（Linux）。faspex-coreのコンテナイメージが5.0.19（1ce4b13、Fix Pack: 1）になっていれば適用済みです |
確かめ方
- 1運用中のFaspexが5系かどうかを、導入記録や管理画面で確認します。
- 2faspex-coreのコンテナイメージの版を確認し、5.0.0から5.0.19の範囲なら対象です。5.0.19でも、Fix Pack: 1が付いていなければ修正は入っていません。
- 3Faspex 4系やOn Demand版、ほかのAspera製品は、IBMの影響範囲に版として挙がっていません。サポート状況も含めて、IBMのセキュリティ告知で確認してください。
何が起きたか
IBM Aspera Faspex 5に、認可の確認をすり抜けて管理者権限を得られる脆弱性が見つかりました。細工したメッセージを送ることで、本来持たない権限が付与されてしまいます。
分類はCWE-863（認可の誤り）です。権限を確認する処理が正しく働かないタイプで、IBMは2026年11月7日に告知を出し、同日に修正版として5.0.19 PL1を案内しました。
IBMは「今すぐ対処することを強く勧める」としています。回避策は示されていません。
攻撃の流れ
-
1
Faspexに接続
Faspex 5のサービスに到達できる位置から接続します。
-
2
細工した送信
特定の形に細工したメッセージをFaspexへ送ります。
-
3
認可を回避
権限の確認が正しく働かず、本来許されない操作が通ります。
-
4
管理者権限を取得
Faspexの管理者として、設定や利用者、ファイルを扱えるようになります。
どう悪用されるか
IBMの告知は、認証されたユーザーが細工したメッセージを送り、認可を回避して権限を昇格させると説明しています。Faspexにアカウントを持つ利用者が起点になる書き方です。
一方、CVSSのベクトルはネットワーク経由で、特別な条件がなく、権限も利用者の操作も要らないと評価しています。説明とベクトルの前提に差があるため、アカウントの有無にかかわらず、Faspexに接続できる範囲を対象と考えて備えるのが安全です。
悪用された場合は、完全な管理者権限を得られます。機密性・完全性・可用性のいずれも影響が大きいと評価されており、Faspex上のファイルや利用者設定に及ぶ可能性があります。
今すぐやること
-
1
導入している版を確認する
Faspex 5のfaspex-coreコンテナイメージの版を調べ、5.0.0から5.0.19に当たるかを確認します。
-
2
5.0.19 PL1へ更新する
IBMの告知にある手順に沿ってLinux版を更新します。更新後、faspex-coreのコンテナイメージが5.0.19（1ce4b13、Fix Pack: 1）になっていることを確かめます。
-
3
管理者権限の変化を調べる
更新前の期間について、管理者アカウントの追加や、既存アカウントの権限変更が記録に残っていないかを確認します。心当たりのない変更があれば、該当アカウントを止めて調査に回します。
-
4
関連するAspera製品の扱いを確認する
同じ環境でFaspex 5以外のAspera製品を使っている場合は、IBMの告知で影響の有無を確認します。
すぐ更新できないとき
IBMは回避策なしとしています。更新までのつなぎとして、Faspexに接続できる送信元を絞り、使っていないアカウントを無効にし、管理者の追加や権限変更の記録を見張る方法があります。ただし修正の代わりにはならないので、更新の予定は先延ばしにしないでください。
背景
Aspera Faspexは、IBM Asperaの高速転送技術を使い、Webの画面から大容量ファイルを送受信するためのポータルです。社内の部門間だけでなく、取引先や制作会社とのやり取りに使われることも多く、管理者権限を得られると、利用者の管理や共有設定にまで手が届きます。
Faspexでは4系で、過去に実際の攻撃で悪用された脆弱性が出たことがあります。今回の対象は5系で別の問題ですが、ファイル転送の窓口が狙われやすいことは変わりません。5系はコンテナ構成のため、更新後はfaspex-coreのコンテナイメージの版で適用状況を確かめます。
よくある質問
Q.IBMの告知に載っているAspera Faspex On Demandなどの製品も影響を受けますか。
まだ分かっていないこと
- 細工したメッセージの具体的な内容や、悪用に必要な元の権限の種類は公表されていません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| IBMAspera Faspex |
5.0.0 〜 5.0.19→ 記載なし |
記載なし |
この記録には修正版の版が載っていません。修正版の有無と版は、本文か参照URLのベンダーの勧告で確かめてください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
IBM Aspera Faspex 5.0.0 through 5.0.19 could allow an authorized user to craft a specific message to bypass user authorization and gain full administrative privileges.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory CISA KEV
参照URL
- patch psirt@us.ibm.com
- web nvd.nist.gov
- web github.com
- web cisa.gov