Trusted DesignCVE-2020-4428 の詳細
CVEの情報
説明:
IBM Data Risk Manager 2.0.1, 2.0.2, 2.0.3, and 2.0.4 could allow a remote authenticated attacker to execute arbitrary commands on the system. IBM X-Force ID: 180533.
CVE更新日: 2020-05-07 20:15:12.673000
CVSSバージョン: 3.1
CVSSスコア: 9.1
KEVの情報
KEV更新日: 2021-11-03
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.616920000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: False
CVE-2020-4428について、以下の観点で解説します。
1. 脆弱性の概要
IBM Data Risk Managerに存在する脆弱性です。リモートの認証された攻撃者が、システム上で任意のコマンドを実行できる可能性があります。
1.1 影響 リモートからの認証された攻撃者により、システム上で任意のコマンドが実行されるおそれがあります。これはリモートコード実行（RCE）の脆弱性として分類されています。
1.2 深刻度 NVD（National Vulnerability Database）によると、この脆弱性は「OSコマンドインジェクション」 (CWE-78) に関連しています。 CISAの既知の悪用されている脆弱性カタログ（Known Exploited Vulnerabilities Catalog）にも追加されており、実際に悪用されていることが確認されているため、深刻度は高いと評価されます。
2. 対象となる環境
2.1 影響を受けるOSバージョン この脆弱性は特定のOSバージョンではなく、IBM Data Risk Managerというアプリケーション製品に影響を与えます。
2.2 影響を受ける設定 以下のIBM Data Risk Managerのバージョンが影響を受けます。 * IBM Data Risk Manager 2.0.1 * IBM Data Risk Manager 2.0.2 * IBM Data Risk Manager 2.0.3 * IBM Data Risk Manager 2.0.4
3. 影響を受けた時の兆候
この脆弱性は任意のコマンド実行を可能にするため、以下のような兆候が現れる可能性があります。ただし、CVE-2020-4428に特化した具体的な兆候は公開情報には明記されていません。 * 不正なコマンド実行の形跡 * 予期しないシステム動作 * 新規ファイルや変更されたファイルの出現 * 異常なネットワーク接続 * リソースの枯渇（CPU使用率の異常な上昇など）
4. 推奨対策
4.1 本対策 ベンダーの指示に従ってアップデートを適用してください。具体的には、バージョン2.6へのアップグレードが推奨されています。
4.2 暫定回避策（緩和策） 公開情報には、CVE-2020-4428に特化した具体的な暫定回避策（緩和策）は明記されていません。
参照したサイト