IBM Storage Protect Serverは、認証されたユーザーがJSON-RPCエンドポイントを介して管理メタデータにアクセスできる脆弱性の影響を受けます。

CVE-2025-13855 は、IBM Storage Protect Server (および Storage Protect Plus Server) バージョン 8.2.0 に影響を与え、SQL インジェクションの脆弱性を導入します。リモートの攻撃者は、特別に細工された SQL ステートメントを送信することで、バックエンドデータベース内の情報を表示、追加、変更、または削除できる可能性があります。CVSS 重度スコアは 7.6 で、高いリスクを示しています。この脆弱性は、Storage Protect サーバーを実行するデータベースユーザーの権限に応じて、機密データの漏洩、データ整合性の操作、またはシステム侵害につながる可能性があります。現在の修正プログラムの欠如は状況を悪化させ、慎重なリスク評価と代替緩和策の実施が必要となります。

Organizations utilizing IBM Storage Protect Server version 8.2.0 are at direct risk. Specifically, environments with limited network segmentation or those lacking robust WAF protection are more vulnerable. Any organization relying on the Storage Protect Server for critical data backup and recovery is potentially at risk, as a successful attack could compromise their data protection posture.

• linux / server:

journalctl -u ibmssp | grep -i "SQL injection"

• generic web:

curl -I <storage_protect_server_url> | grep -i "SQL injection"

1. 2026-04-01Disclosure

   disclosure

1. 予約済み2025-12-01
2. 公開日2026-04-01
3. EPSS 更新日2026-04-08

IBM から CVE-2025-13855 の公式な修正プログラムがないため、組織はリスクを軽減するために代替緩和策を実装する必要があります。これには、Storage Protect サーバーへのアクセスを制限するためのネットワークセグメンテーション、疑わしいトラフィックをブロックするための制限付きファイアウォールルールの適用、サーバーログの異常なアクティビティの継続的な監視が含まれます。Storage Protect サーバーの構成をレビューして、最小特権の原則が適用され、堅牢なアクセス制御が実施されていることを強くお勧めします。IBM がパッチをリリースされたら、ソフトウェアのより新しいバージョンにアップグレードすることを検討してください。公式なソリューションが利用可能になるまで、継続的なリスク評価が不可欠です。