30秒で判断
- 対応すべき人: IBM Security Verify Directory 10.0.0〜10.0.4、またはIBM Verify Directory 11.0.0を運用している方
- 対応不要な人: 当該製品を使用していない方、修正バージョンを適用済みの方
- 確認コマンド: IBM Security/Verify Directoryのバージョン情報をIBMサポートページの対象バージョンと照合する
概要
IBM Security Verify DirectoryおよびIBM Verify Directoryは、ディレクトリサービスを提供するIBM製ソフトウェアです。今回の脆弱性は、セッション固定（Session Fixation）に起因するものです。
攻撃者が事前にセッションを確立し、被害者がそのセッションで認証を行った後に、認証済みのセッションを乗っ取ることで、ディレクトリ管理コンソールへの不正アクセスが可能になるおそれがあります。
CVSSベクトル
| 項目 | 値 |
|---|---|
| CVSSスコア | 8.8 (High) |
| CVSSバージョン | 3.1 |
| 攻撃元区分 | ネットワーク経由 |
| 認証要否 | 被害者の認証操作が前提 |
| 影響 | 管理コンソールへの不正アクセス |
影響を受けるソフトウェア
| 製品 | バージョン |
|---|---|
| IBM Security Verify Directory | 10.0.0〜10.0.4 |
| IBM Verify Directory | 11.0.0 |
修正バージョンと回避策
IBMサポートページに記載された修正プログラムの適用を推奨します。詳細な修正手順はIBM公式のサポート情報を確認してください。アップデートが難しい場合は、セッションIDを認証後に再生成する設定や、セッションの有効期限を短縮することが緩和策として有効です。
関連リンク
データソース: NVD (NIST) AI解説はClaude APIにより自動生成されています。正確性については原文をご確認ください。