Power9・Power10のPowerVMに最高レベルの脆弱性　～特権昇格の恐れ、IBMは修正版ファームウェアのインストールを強く推奨

IBMは5月17日、IBM Power9およびPower10システムのPowerVMの脆弱性により特権昇格を受ける可能性があり、データ漏洩や任意のコードの実行につながる恐れがあると発表した。

この脆弱性は、PowerVMの「Logical Partition Handler」に起因するもので、未知の値で改ざんされると、特権昇格を突く攻撃につながる。CVSS ベーススコアは最高レベルの「9.3」（緊急）が付けられており、至急の対処が必要になる。CVE番号は、CVE-2023-30438。

影響を受ける製品は、以下のとおり。

影響を受けるPower9およびPower10のモデルは、以下のとおり。

・Power S914 (9009-41A、9009-41G)
・Power S922 (9009-22A、9009-22G)
・Power L922 (9008-22L)
・Power H922 (9223-22H、9223-22S)
・Power S924 (9009-42A、9009-42G)
・Power H924 (9223-42H、9223-42S)
・Power E950（9040-MR9)
・Power E980 (9080-M9S)

・Power S1014 (9105-41B)
・Power S1022 (9105-22A)
・Power S1022s (9105-22B)
・Power S1024 (9105-42A)
・Power L1022 (9786-22H)
・Power L1024 (9786-42H)
・Power E1050 (9043-MRX)
・Power E1080 (9080-HEX)

IBMでは対処法として、このPowerVMの脆弱性を修正したファームウェアのインストールを強く推奨している。

◎対処法

Power 9

以下のPower9モデルには、ファームウェア「FW950.71(950_124)」および、それ以降の脆弱性修正バージョンのインストールを強く推奨。

・Power S914 (9009-41A、9009-41G)
・Power S922 (9009-22A、9009-22G)
・Power L922 (9008-22L)
・Power H922 (9223-22H、9223-22S)
・Power S924 (9009-42A、9009-42G)
・Power H924 (9223-42H、9223-42S)
・Power E950（9040-MR9)
・Power E980 (9080-M9S)

Power 10

以下のPower 10モデルには、ファームウェア「FW1020.31(1020_102)」「FW1030.11(1030_058)」および、それ以降の脆弱性修正バージョンのインストールを強く推奨。

・Power S914 (9009-41A、9009-41G)
・Power S922 (9009-22A、9009-22G)
・Power L922 (9008-22L)
・Power H922 (9223-22H、9223-22S)
・Power S924 (9009-42A、9009-42G)
・Power H924 (9223-42H、9223-42S)
・Power E950（9040-MR9)

Power E1080 (9080-HEX)については、ファームウェア「FW1010.51（1010_163）」「FW1030.11（1030_052）」および、それ以降の脆弱性修正バージョンのインストールを強く推奨。

・Power E1080 (9080-HEX)

IBM Security Bulletins
https://www.ibm.com/blogs/psirt/category/severity-critical/

［i Magazine・IS magazine］