ACS 1.1.9.11が出荷開始になりました。(2026/1)
IBM i Access - ACS Updates ACS 1.1.9.11
https://www.ibm.com/support/pages/ibm-i-access-acs-updates
ACS 1.1.9.11のアップデート概要
このリリースは既知の脆弱性への対応がメインです。
このアップデートには、CVE-2025-66516 に対する重大なセキュリティ修正が含まれています。
ACS(1.1.9.8～1.1.9.10）には、PDF 内に細工された XFA ファイルを介して攻撃者が XML 外部エンティティ（XML Entity）インジェクションを実行する脆弱性があります。
CVE-2025-66516の脆弱性とは
上記リンクの機械翻訳です。
Apache Tika tika-core (1.13-3.2.1)、tika-pdf-module (2.0.0-3.2.1)、および tika-parsers (1.13-1.28.5) モジュール（全プラットフォーム）における重大な XXE により、攻撃者は PDF 内に細工された XFA ファイルを挿入することで XML 外部エンティティ（XFA）インジェクションを実行できます。この CVE は CVE-2025-54988 と同じ脆弱性をカバーしています。ただし、この CVE は影響を受けるパッケージの範囲を 2 つの点で拡大しています。まず、CVE-2025-54988 で報告されているように、脆弱性のエントリポイントは tika-parser-pdf-module でしたが、脆弱性とその修正は tika-core に存在していました。tika-parser-pdf-module をアップグレードしたにもかかわらず、tika-core を 3.2.2 以上にアップグレードしていないユーザーは、依然として脆弱性の影響を受ける可能性があります。第二に、元のレポートでは、1.x Tika リリースでは PDFParser が「org.apache.tika:tika-parsers」モジュールにあったことが言及されていませんでした。
また機能拡張としては、
SQL スクリプト実行機能では、IBM i 上のテーブル内のバイナリ列データのコンテンツタイプを判別するために Apache Tika が使用されます。
IBM は、1.1.9.11 へのアップグレードと、バージョン 1.1.9.8 から 1.1.9.10 の使用中止を強く推奨します。
との記述があります。
また、ACS 1.1.9.11では以下の既知の問題 (APAR) が含まれています:
DT455863 OSP-UNPRED ACS - DDS キーワード RTNCSRLOC 使用時のカーソル値が正しくありません
DT457428 OSP-INCORROUT ACS はバージョン 1.1.9.10 の可用性を検出しません
参考記事