--- title: "IBM Aspera Faspex 5 で、細工したメッセージにより認可を回避され管理者権限を得られる恐れ（CVE-2026-123218・5.0.0〜5.0.19・5.0.19 PL1 で修正）" url: https://n-t-p.io/worldsecurity/articles/ibm-aspera-faspex5-authz-bypass-admin-cve-2026-123218 lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月7日 updated: 2026年11月7日 severity: 高 cve: CVE-2026-123218 --- # IBM Aspera Faspex 5 で、細工したメッセージにより認可を回避され管理者権限を得られる恐れ（CVE-2026-123218・5.0.0〜5.0.19・5.0.19 PL1 で修正） > **TL;DR:** IBM Aspera Faspex 5.0.0〜5.0.19 で、認可された利用者が細工したメッセージで認可を回避し、完全な管理者権限を得られる恐れ（CVE-2026-123218・IBM 評価 CVSS v3.1 9.8）。IBM の記述はログイン済みの利用者だが、評価の値は認証不要で食い違う。5.0.19 PL1 で修正、回避策なし。 **要点** - IBM は 2026-11-07、Aspera Faspex 5（5.0.0〜5.0.19）の脆弱性 CVE-2026-123218 を公表。認可された利用者が細工したメッセージで認可を回避し、完全な管理者権限を得られる恐れ（CWE-863）。 - IBM の評価は CVSS v3.1 9.8（AV:N/PR:N/UI:N）だが、IBM の記述は「認可された（認証済みの）利用者」で食い違う。どちらが実態かは未確認。severity 案は high（認証不要と確認できれば critical）。 - 修正は 5.0.19 PL1（Fix Pack 1）。faspex-core のイメージが 5.0.19（1ce4b13、Fix Pack 1）か確認する。IBM は回避策・緩和策なしと記載。 - NVD は評価前（Awaiting Analysis）、EPSS は未算出、CISA KEV 掲載なし。悪用の有無・攻撃コード・成立条件は未確認。本稿は公開情報の読み取りで、再現はしていない。 IBM のファイル転送製品 **IBM Aspera Faspex 5** に、細工したメッセージで認可を回避され、**完全な管理者権限**を得られる恐れのある脆弱性（**CVE-2026-123218**）が公表されました。IBM は評価を CVSS v3.1 で **9.8**（CRITICAL）としています。対象は **5.0.0〜5.0.19**、修正は **5.0.19 PL1（Fix Pack 1）** です。ただし、IBM の記述は「認可された（ログイン済みの）利用者が」となっている一方、評価の値は「認証不要（PR:N）」で、食い違っています。どちらが実態かは**未確認**です。 ## 内容 IBM の勧告（2026-11-07 公開）と NVD の記述によると、問題は次のとおりです。 - Faspex 5 で、認可された利用者が特定のメッセージを細工して送ると、利用者ごとの認可の確認をすり抜けます（CWE-863：認可の誤り）。 - その結果、完全な管理者権限を得られる恐れがあります。 - 勧告の概要には「認証済みの利用者が…権限昇格を引き起こす」とあります。一方、IBM が付けた評価のベクターは `PR:N`（認証不要）です。この食い違いの理由は、公表資料に書かれていません。 攻撃の手順や成立条件は公表されておらず、本稿は公開情報を読んだだけで、再現はしていません。手順は載せません。 ## 評価 | 指標 | 値 | |---|---| | CVSS v3.1（IBM が付与・NVD 上は Primary） | **9.8** `AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H` | | CWE | CWE-863（認可の誤り） | | IBM 勧告・NVD 登録 | 2026-11-07（NVD の状態は「Awaiting Analysis」で、NVD 自身の評価は未実施） | | EPSS（FIRST・11/7 時点） | 値なし（未算出） | | CISA KEV | 掲載なし（11/7 確認） | IBM の記述が「認可された利用者」であることから、当サイトの基準（認証不要かつ 9.0 以上は critical、ログインが要るものは critical にしない）に従い、severity 案は **high** とします。評価の値どおり認証不要と確認できれば critical に上げます。 ## 影響を受ける版と修正 - 影響: IBM Aspera Faspex **5.0.0〜5.0.19**。 - 修正: **IBM Aspera Faspex 5.0.19 PL1**（Linux）。IBM の手順に従って更新し、`faspex-core` のコンテナイメージが「5.0.19（1ce4b13、Fix Pack 1）」になっていることを確認するよう案内されています。 - 回避策・緩和策: IBM は「なし」と記載しています。 ## 利用者が考えられること 1. Faspex 5 を使っているか、版を確認します（5.0.19 以前が対象）。 2. IBM の手順に従って 5.0.19 PL1 へ更新し、`faspex-core` のイメージが Fix Pack 1 であることを確かめます。 3. 回避策がないため、すぐ更新できないときは、利用者アカウントの棚卸し、不要なアカウントの停止、外部からのアクセス経路の制限を検討します。 4. 管理者権限の付与や設定変更に、覚えのない履歴がないかを管理画面のログで確認します。 ## 未確認の点 - 攻撃に、ログインが必要か（IBM の記述）、不要か（評価の値）。 - 悪用の有無、公開された攻撃コード（CISA KEV に掲載なし）、攻撃が成立する具体的な条件。 - 5.0.19 より前の版すべてが同じ条件で影響を受けるか、利用規模、NVD 自身の評価。 ## 出典 - [IBM Security Bulletin（CVE-2026-123218・Aspera Faspex）](https://www.ibm.com/support/pages/node/7295921) — IBM - [NVD CVE-2026-123218](https://nvd.nist.gov/vuln/detail/CVE-2026-123218) — NIST NVD - [FIRST EPSS（CVE-2026-123218・値なし）](https://api.first.org/data/v1/epss?cve=CVE-2026-123218) — FIRST - [CISA KEV カタログ（掲載なし）](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/ibm-aspera-faspex5-authz-bypass-admin-cve-2026-123218