IBM、IIASのSpark関連脆弱性に修正―製品更新で対応を
分析基盤の内部コンポーネントに既知の脆弱性が見つかっています。古いCVEでも、利用製品の修正提供日と導入済み版を確認する必要があります。
公式公表日：2026-10-21 / 公開： / 更新： / 最終確認：
Codingholic 編集部 · 約3分
IBMは10月21日、データ分析基盤のIBM Integrated Analytics System（IIAS）について、Apache Sparkに由来する複数の脆弱性への修正を公表しました。Sparkは大量のデータを分散処理するソフトウェアで、IIASのdashDBコンポーネントが利用しています。今回の発表は既知の脆弱性に対する製品別の修正案内です。
UIの権限確認からコマンド実行につながる
告知にはSpark UIのアクセス制御処理を悪用し、Sparkを動かす利用者の権限でOSコマンドを実行される問題が含まれます。CVE-2022-33891とCVE-2023-32007に対応し、ACLを有効にした構成が成立条件の一つです。
ほかにローカルディスクへの平文保存、RPC認証に関わる暗号鍵の復元、ビルド用zincサーバーからの情報漏えいを挙げています。zincの問題はSparkをソースからビルドする開発者が対象で、通常利用者まで同じ条件で影響するとは扱いません。
対象はIIAS 1.0.0.0〜1.0.31.0
IBMは1.0.0.0〜1.0.31.0を対象とし、1.0.32.0の修正パッケージ「1.0.32.0-IM-IIAS-fp402」を案内しています。回避策は示されていません。組み込みSparkだけを独自に置き換えず、IIASの製品更新として適用します。
CVE番号は2018〜2023年のものですが、今回のIBM公表日は2026年10月21日です。新しく見つかった攻撃や新規CVEの発表と混同せず、自社のIIASが今回の修正対象に入るかを確認してください。
分析ジョブまで動くことを確認する
以下は編集部の確認手順です。機器の稼働版、修正の導入状況、保守契約を確認し、管理担当者とアップデート計画を立てます。Spark UIの公開範囲も記録しますが、アクセス制限だけで全ての列挙された脆弱性への対応が終わったとは判断しません。
製品手順に従ってバックアップと更新を実施し、稼働版が修正版になったことを確認します。更新後は代表的な分析ジョブ、データ読み書き、利用者の権限を点検します。失敗時に元へ戻す場合も、未修正状態に戻ることを作業記録へ残して再対応につなげます。
出典と編集について
IBM：IBM、IIASのSpark関連脆弱性に修正 ↗出典の報告と、編集部が提案する点検・対策を分けて記載しています。本記事の点検項目は個別環境の診断結果ではありません。