IBM Optimに情報漏えいの脆弱性、2.0.0で修正
IBM Optim Test Data Managementなどの1.0.0〜1.2.0に、機密情報を取得される脆弱性（CVSS v3は9.1）が見つかりました。回避策は示されていないため、修正版の2.0.0へ移行し、それまでは利用できる人とネットワークの範囲を絞ってください。
急ぎ度: 早めに
CVSS v3は9.1で、IBMが回避策なしとしている一方、修正版の2.0.0が提供されているため、移行を早めに進める必要があります。
関係があるか
Linux（Red Hat）上でIBM Optimの1.0.0、1.1.0、1.2.0を運用している組織が対象です。テストデータの作成・加工や、アーカイブの用途で使っている環境が当てはまります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| IBM Optim Test Data Management | 1.0.0、1.1.0、1.2.0 | 2.0.0（IBMのPassport Advantageから入手） |
| IBM Optim Data Privacy | 1.0.0、1.1.0、1.2.0（IBMの告知が対象製品に挙げています） | 告知はIBM Optim Test Data Management 2.0.0への移行を案内しています。この製品向けの入手手順はIBMの告知で確認してください |
| IBM Optim Archive | 1.0.0、1.1.0、1.2.0（IBMの告知が対象製品に挙げています） | 告知はIBM Optim Test Data Management 2.0.0への移行を案内しています。この製品向けの入手手順はIBMの告知で確認してください |
確かめ方
- 1資産台帳や導入手順書で、社内にIBM Optimの3製品（Test Data Management・Data Privacy・Archive）があるかを洗い出します。
- 2見つかった環境ごとに導入済みの版を確認し、1.0.0、1.1.0、1.2.0のどれかに当たるかを照合します。
- 3Optimにログインできるアカウントの一覧と、そのサーバーへ接続できるネットワークの範囲を確認します。被害の広がりはこの範囲で決まります。
- 4Passport Advantageの契約があるかを確認し、2.0.0を入手できる状態かどうかを確かめます。
何が起きたか
IBM Optimに、本来は許可されていない場所にある機密情報を取得されてしまう脆弱性があります。
原因はパストラバーサル（CWE-22）です。ファイルの場所を指定して受け付ける処理が、その場所が許可されたディレクトリの内側かどうかを十分に検査していません。IBMの告知の概要は同時に公表した3件をmedium-severityと表現していますが、このCVE-2026-17466にIBMが付けたCVSS v3の基本値は9.1です。判断の基準は、この数値に置いてください。
IBM Optim Test Data Management 2.0.0では、利用者が要求するファイルの場所が許可ディレクトリの範囲内かを検証し、範囲外へのアクセス要求を拒否するようになりました。同じ告知の残り2件も2.0.0で修正されています。1件は回数制限がないことで、保護対象のエンドポイントではユーザー単位、ログインではIPアドレス単位の制限が入りました。もう1件は弱いパスワードの扱いで、既定のアカウントとパスワードが廃止され、導入時に固有の管理者パスワードが自動生成されます。IBMの告知の初版は2026年9月28日付です。
攻撃の流れ
-
1
正規のログイン
Optimの利用者アカウントで認証を通ります。
-
2
範囲外の場所を要求
ファイルの場所として、許可されたディレクトリの外を指す要求を送ります。
-
3
検査をすり抜ける
旧版は範囲内かどうかの検査が不十分なため、要求が拒否されません。
-
4
機密情報の取得
許可されていない場所にあるファイルの情報が返されます。
どう悪用されるか
悪用にはOptimへのログインが要ります。ただし権限は低いもので足り、利用者の操作は不要で、複雑な条件もありません。ネットワーク越しに実行でき、IBMはリモートの認証済みの攻撃者による悪用を想定しています。
成功すると、サーバー上の許可されていない場所にある機密情報を取得されます。CVSSのベクトルでは、機密性への影響が高く、整合性と可用性への影響は低いと評価されています。影響がOptimの管理範囲の外にまで及ぶ（スコープが変わる）とされている点も、9.1という数値に効いています。
今すぐやること
-
1
対象製品と版を特定する
Test Data Management・Data Privacy・Archiveのいずれかを、1.0.0、1.1.0、1.2.0で動かしていないかを洗い出します。本番だけでなく、検証用に立てたサーバーも含めます。
-
2
IBM Optim Test Data Management 2.0.0へ移行する
IBMは今すぐの対応を強く勧めています。入手はPassport Advantageからです。1.x系からの移行になるため、検証環境で動作を確かめてから本番に切り替えます。
-
3
既定のアカウントとパスワードを点検する
2.0.0では既定のアカウントとパスワードが廃止されました。旧版を使い続ける間は、既定のアカウントが残っていないかを確認し、残っていれば不要なものを削除するか、パスワードを変更します。
-
4
ログを見直す
Optimのサーバーで、普段使わないアカウントからのアクセスや、不自然なファイル参照がないかを確認します。見つかったときは、そのアカウントを止めて調査を始めます。
すぐ更新できないとき
IBMは回避策を示していません。2.0.0に移行するまでのつなぎとして、Optimのサーバーに接続できる送信元を業務で必要なホストと利用者だけに絞り、使っていないアカウントを無効にしておくと、悪用できる相手を減らせます。これは被害を小さくするための措置で、脆弱性そのものはふさげません。
背景
IBM Optimは、本番データをもとにテスト用のデータを作ったり、個人情報を加工して秘匿したり、古いデータをアーカイブしたりするための製品群です。つまり、運用中のデータやその加工元が集まるサーバーで動いていることが多く、そこから許可外のファイルを読まれると、被害は一つのアプリケーションにとどまりません。
パストラバーサルは、ファイルの場所を受け取る機能が、指定された範囲の外を参照できてしまう型の脆弱性です。ファイルの中身が読めれば、設定やデータそのものが取り出されます。今回は同じ告知に、ログインの回数制限がないことと、既定のパスワードの問題も並んでいます。今回の脆弱性はログインが前提なので、この2点が残る環境では前提を満たされやすい、と見ておくのが安全でしょう。
よくある質問
Q.Optim Data PrivacyやOptim Archiveだけを使っています。どれに更新すればよいですか。
Q.IBMの告知は9月28日付ですが、いま対応が必要ですか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
IBM Optim 1.0.0, 1.1.0, and 1.2.0 could allow a remote authenticated attacker to obtain sensitive information due to path traversal.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web ibm.com
- web nvd.nist.gov
- web github.com